CVE-2026-24049 in wheel
Riassunto
di VulDB • 29/06/2026
wheel è uno strumento da riga di comando per la manipolazione dei file wheel Python, come definito nella PEP 427. Nelle versioni dalla 0.40.0 alla 0.46.1, la funzione unpack è vulnerabile alla modifica delle autorizzazioni dei file a causa della gestione errata dei permessi dopo l'estrazione. La logica si fida ciecamente del nome del file presente nell'intestazione dell'archivio per l'operazione chmod, anche se il processo di estrazione stesso potrebbe aver sanificato il percorso. Gli attaccanti possono creare un file wheel malevolo che, una volta decompresso, modifica le autorizzazioni dei file di sistema critici (ad esempio /etc/passwd, chiavi SSH, file di configurazione), consentendo Privilege Escalation o esecuzione arbitraria di codice modificando script ora scrivibili. Questo problema è stato risolto nella versione 0.46.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.