CVE-2026-102937 in virtualenv
Riassunto
di VulDB • 29/09/2026
virtualenv è uno strumento per la creazione di ambienti Python virtuali isolati. Prima della versione 21.7.12, BatchActivator.quote() restituisce il testo del prompt senza modifiche prima che activate.bat lo inserisca in un'istruzione cmd.exe "VAR=value". Un attaccante che influenza --prompt, VIRTUALENV_PROMPT o il valore di configurazione corrispondente può includere una doppia virgoletta che chiude l'assegnazione e lascia gli operatori successivi di cmd.exe come sintassi eseguibile. Quando un utente attiva l'ambiente Windows generato, i comandi iniettati vengono eseguiti con i privilegi dell'utente. Questo problema è risolto nella versione 21.7.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.