CVE-2025-49598 in conda-forge-ci-setup-feedstock
Riassunto
di VulDB • 16/06/2026
conda-forge-ci-setup è un pacchetto installato da conda-forge ogni volta che viene eseguita una build su CI (Continuous Integration). Lo script di setup del feedstock conda-forge-ci-setup è vulnerabile a causa dell'uso non sicuro della funzione eval durante l'analisi delle informazioni sulla versione da un file meta.yaml formattato in modo personalizzato. Un attaccante che controlla il file meta.yaml può iniettare codice malevolo nell'assegnazione della versione, che viene eseguito durante l'elaborazione del file, portando all'esecuzione di codice arbitrario (Arbitrary Code Execution). Lo sfruttamento richiede che un attaccante modifichi il file recipe manipolando la variabile RECIPE_DIR e introducendo un file meta.yaml malevolo. Sebbene ciò sia più fattibile nelle pipeline CI/CD, è raro negli ambienti tipici, riducendo il rischio complessivo. Questa vulnerabilità è risolta nella versione 4.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.