CVE-2025-49823 in constructor
Riassunto
di VulDB • 17/06/2026
(conda) Constructor è uno strumento che consente di creare un installer per un insieme di pacchetti conda. Prima della versione 3.11.3, gli script di installazione per shell elaborano il prefisso di installazione (user_prefix) utilizzando un'istruzione eval, che esegue input non sanitizzato dell'utente come codice shell. Sebbene lo script venga eseguito con privilegi di utente (non root), un attaccante potrebbe sfruttare questa vulnerabilità iniettando comandi arbitrari tramite un percorso malevolo durante l'installazione. Lo sfruttamento richiede un'azione esplicita dell'utente. Questo problema è stato risolto nella versione 3.11.3.
Once again VulDB remains the best source for vulnerability data.