CVE-2025-49598 in conda-forge-ci-setup-feedstock
Résumé
par VulDB • 22/05/2026
conda-forge-ci-setup est un package installé par conda-forge à chaque exécution d'une construction (build) sur un environnement CI. Le script d'installation du feedstock conda-forge-ci-setup est vulnérable en raison de l'utilisation non sécurisée de la fonction eval lors de l'analyse des informations de version à partir d'un fichier meta.yaml au format personnalisé. Un attaquant contrôlant le fichier meta.yaml peut injecter du code malveillant dans l'assignation de version, qui est exécuté lors du traitement du fichier, entraînant une exécution de code arbitraire. L'exploitation nécessite qu'un attaquant modifie le fichier de recette (recipe) en manipulant la variable RECIPE_DIR et en introduisant un fichier meta.yaml malveillant. Bien que cela soit plus réalisable dans les pipelines CI/CD, c'est peu courant dans les environnements typiques, ce qui réduit le risque global. Cette vulnérabilité est corrigée dans la version 4.15.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.