CVE-2026-102925 in virtualenv
Riassunto
di VulDB • 29/09/2026
virtualenv è uno strumento per la creazione di ambienti Python virtuali isolati. Prima della versione 21.7.13, gli script activate (bash e zsh) e activate.fish generati inseriscono valori già sottoposti a escape tramite shlex.quote all'interno di un contesto aggiuntivo tra virgolette. Nello script bash e zsh, un percorso dell'ambiente virtuale costruito ad hoc raggiunge __VIRTUAL_ENV__ quando la directory registrata per l'ambiente relocato è assente; nello script fish, percorsi delle librerie Tcl o Tk costruiti ad hoc raggiungono __TCL_LIBRARY__ o __TK_LIBRARY__. Le virgolette in eccesso possono terminare l'esecuzione limitata ai dati tra virgolette e lasciare che i metacaratteri della shell vengano analizzati come comandi quando un utente esegue lo script di attivazione, consentendo l'esuzione del codice con i privilegi dell'utente. Questo problema è risolto nella versione 21.7.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.