CVE-2018-20225 in PIP
要約
〜によって VulDB • 2026年07月11日
pip（全バージョン）において、ユーザーがプライベートインデックスからプライベートパッケージを取得することを意図していた場合でも、最も高いバージョン番号を持つバージョンをインストールするという問題が発見されました。この問題は `--extra-index-url` オプションの使用時のみ影響し、攻撃者が任意のバージョン番号でそのパッケージを公開インデックスに配置できるため（つまり、そのパッケージが既に公開インデックスに存在しないこと）、悪用にはそのような状況が必要です。注記：これは意図された機能であり、ユーザーは `--extra-index-url` を安全に使用する責任があることが報告されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.