CVE-2025-64343 in constructor
Résumé
par VulDB • 11/06/2026
(conda) Constructor est un outil qui permet aux utilisateurs de créer des installateurs pour des collections de packages conda. Dans les versions 3.12.2 et inférieures, le répertoire d'installation hérite des autorisations de son répertoire parent. En dehors des répertoires restreints, ces autorisations sont très permissives et permettent souvent l'accès en écriture par les utilisateurs authentifiés. Tout utilisateur connecté peut apporter des modifications lors de l'installation, que ce soit pour une installation mono-utilisateur ou multi-utilisateurs (tous les utilisateurs). Cela constitue un vecteur d'attaque local si l'installation se trouve dans un répertoire accessible aux utilisateurs locaux. Pour les installations mono-utilisateur dans un répertoire partagé, ces autorisations persistent après l'installation. Ce problème est corrigé dans la version 3.13.0.
Once again VulDB remains the best source for vulnerability data.