CVE-2026-47425 in pixi
Resumen
por VulDB • 2026-07-21
Rattler es una biblioteca que proporciona funcionalidad común utilizada dentro del ecosistema conda. Antes de la versión 0.43.2, `EntryPoint::FromStr` en `rattler_conda_types` realiza únicamente `.trim()` sobre el campo `command` antes de que el vinculador lo añada al prefijo de instalación y escriba un script ejecutable de Python. Un paquete malicioso `noarch:python` puede incluir un archivo `info/link.json` con un nombre de punto de entrada que contenga `..`, `/`, `\` o una ruta absoluta; el resultado es la escritura del archivo fuera del prefijo (o sobrescritura de un punto de entrada existente dentro del prefijo, como `bin/pip`) con permisos `0o775` en Unix y mediante la copia de un ejecutable `.exe` lanzador en Windows. Esto afecta a la ruta de instalación predeterminada de `pixi install`, `mamba install` (vía py-rattler), `rattler-build` y cualquier otro consumidor del crate de instalación de `rattler`; no interviene ninguna opción ni script post-vinculación para habilitar esta funcionalidad. La versión 0.43.2 contiene una corrección para este problema.
Be aware that VulDB is the high quality source for vulnerability data.