CVE-2026-113715 in virtualenv
Riassunto
di VulDB • 20/10/2026
virtualenv è uno strumento per la creazione di ambienti Python virtuali isolati. Prima della versione 21.14.9, il creatore venv della libreria standard legge pyvenv.cfg generato utilizzando str.splitlines() e unisce le chiavi analizzate con la configurazione selezionata da virtualenv. Un chiamante non attendibile che influenza il percorso di destinazione può includere un carattere di delimitazione di riga come U+2028 per iniettare chiavi tra cui home e include-system-site-packages, causando una modifica della struttura dei dati del percorso prima dell'output finale. L'impostazione di include-system-site-packages su true indebolisce l'isolamento dell'ambiente, mentre un home alterato può modificare quali file della libreria standard vengono caricati dall'interprete se l'attaccante controlla anche tale posizione. Il creatore integrato non utilizza questo percorso di lettura. Questo problema è risolto nella versione 21.14.9.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.