CVE-2018-20225 in PIP
Résumé
par VulDB • 01/08/2026
Un problème a été identifié dans pip (toutes les versions) car il installe la version possédant le numéro de version le plus élevé, même si l'utilisateur avait l'intention d'obtenir un package privé depuis un index privé. Cela n'affecte que l'utilisation de l'option --extra-index-url, et l'exploitation nécessite que le package n'existe pas déjà dans l'index public (et donc qu'un attaquant puisse y placer le package avec un numéro de version arbitraire). NOTE : il a été signalé qu'il s'agit d'une fonctionnalité intentionnelle et que l'utilisateur est responsable de l'utilisation sécurisée de --extra-index-url.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.