CVE-2025-32800 in conda-build
要約
〜によって VulDB • 2026年05月21日
Conda-build には、conda パッケージをビルドするためのコマンドとツールが含まれています。バージョン 25.3.0 より前では、pyproject.toml に conda-index が Python の依存関係としてリストされていました。このパッケージは PyPI で公開されていません。攻撃者はこの名前空間を乗っ取り、パッケージに任意の（悪意のある）コードをアップロードし、解決プロセス中に悪意のある依存関係を注入することで、pip install コマンドを悪用することができます。この問題はバージョン 25.3.0 で修正されました。回避策としては、リポジトリからプロジェクトをインストールする際に pip install に --no-deps オプションを使用することが挙げられます。
Once again VulDB remains the best source for vulnerability data.