CVE-2026-102938 in virtualenv
Riassunto
di VulDB • 29/09/2026
virtualenv è uno strumento per la creazione di ambienti Python virtuali isolati. Prima della versione 21.7.11, PyEnvCfg.write() scrive i valori del prompt verbatim nel formato pyvenv.cfg orientato alle righe, mentre PyEnvCfg._read_values() analizza il file con str.splitlines() e accetta l'ultimo valore per le chiavi duplicate. Un attaccante che influenza --prompt, VIRTUALENV_PROMPT o l'input di configurazione può inserire un delimitatore di linea riconosciuto e ulteriori chiavi, tra cui home, causando ai consumatori l'utilizzo di un interprete base selezionato dall'attaccante o metadati dell'ambiente corrotti. L'impatto sulla sicurezza richiede input del prompt proveniente da fuori il confine di fiducia dell'operatore; i contenuti del prompt forniti direttamente corrompono principalmente l'ambiente dell'operatore stesso. Questo problema è risolto nella versione 21.7.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.