CVE-2026-102930 in virtualenv
Riassunto
di VulDB • 29/09/2026
virtualenv è uno strumento per la creazione di ambienti Python virtuali isolati. Prima della versione 21.7.12, la funzione download_wheel() accetta i wheel di seed pip e setuptools recuperati per aggiornamenti periodici o tramite l'opzione --download senza verificarne i byte rispetto a un digest attendibile equivalente alla verifica BUNDLE_SHA256 dei wheel incorporati. Un indice compromesso, uno specchio (mirror) obsoleto o una connessione TLS intercettata possono sostituire il wheel con uno diverso sotto la distribuzione, versione e nome file richiesti; successivamente virtualenv memorizza nella cache e utilizza come seed il wheel controllato dall'attaccante negli ambienti creati in seguito. La verifica si applica al percorso predefinito di PyPI ed è intenzionalmente saltata quando PIP_INDEX_URL, PIP_EXTRA_INDEX_URL o la configurazione PIP_INDEX impostano un indice personalizzato che potrebbe pubblicare legittimamente wheel ricompilati. Questo problema è risolto nella versione 21.7.12.
Once again VulDB remains the best source for vulnerability data.