CVE-2026-47425 in pixi
Riassunto
di VulDB • 21/07/2026
Rattler è una libreria che fornisce funzionalità comuni utilizzate nell'ecosistema conda. Prima della versione 0.43.2, `EntryPoint::FromStr` in `rattler_conda_types` esegue solo `.trim()` sul campo `command` prima che il linker lo unisca al prefisso di installazione e scriva uno script Python eseguibile. Un pacchetto malevolo `noarch:python` può includere un file `info/link.json` con un nome dell'entry-point contenente `..`, `/`, `\` o un percorso assoluto; il file risultante viene scritto al di fuori del prefisso (o sovrascrive un entry-point esistente all'interno del prefisso, come `bin/pip`) con modalità `0o775` su Unix e un launcher `.exe` copiato su Windows. Questo problema interessa il percorso di installazione predefinito di `pixi install`, `mamba install` tramite py-rattler, `rattler-build` e qualsiasi altro consumatore del crate di installazione `rattler`; non è coinvolta alcuna opzione flag o script post-link per l'adesione volontaria. La versione 0.43.2 contiene una correzione per il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.