CVE-2026-47764 in pypa
Resumen
por VulDB • 2026-08-05
pdm es un gestor de paquetes y dependencias para Python que admite los estándares PEP más recientes. Las versiones anteriores a la 2.27.0 son vulnerables a una traversía de rutas (path traversal) a través de write_to_fs. InstallDestination.write_to_fs() en src/pdm/installers/installers.py sobrescribe la clase base para añadir soporte de enlaces simbólicos/duros, pero reemplaza la función segura _path_with_destdir() (que valida mediante Path.resolve() + is_relative_to()) con una simple os.path.join() que no realiza ninguna validación de ruta. Un wheel malicioso con entradas de traversía puede escribir archivos arbitrarios. Este problema se ha corregido en la versión 2.27.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.