CVE-2025-49598 in conda-forge-ci-setup-feedstock
Resumen
por VulDB • 2026-05-21
conda-forge-ci-setup es un paquete instalado por conda-forge cada vez que se ejecuta una compilación en CI. El script de configuración del feedstock conda-forge-ci-setup es vulnerable debido al uso inseguro de la función eval al analizar la información de versión desde un archivo meta.yaml con formato personalizado. Un atacante que controle meta.yaml puede inyectar código malicioso en la asignación de versión, el cual se ejecuta durante el procesamiento del archivo, lo que conduce a la ejecución de código arbitrario. La explotación requiere que un atacante modifique el archivo de receta manipulando la variable RECIPE_DIR e introduciendo un archivo meta.yaml malicioso. Si bien esto es más factible en pipelines de CI/CD, es poco común en entornos típicos, lo que reduce el riesgo general. Esta vulnerabilidad está corregida en la versión 4.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.