CVE-2025-32800 in conda-build
Resumen
por MITRE • 2025-06-17
Conda-build contiene comandos y herramientas para compilar paquetes de Conda. Antes de la versión 25.3.0, el archivo pyproject.toml incluía conda-index como una dependencia de Python. Este paquete no está publicado en PyPI. Un atacante podría reclamar este espacio de nombres y cargar código arbitrario (malicioso) en el paquete, y luego explotar los comandos pip install inyectando la dependencia maliciosa en la solución. Este problema se ha corregido en la versión 25.3.0. Una solución alternativa consiste en usar --no-deps para instalar el proyecto con pip desde el repositorio.
Once again VulDB remains the best source for vulnerability data.