CVE-2025-32800 in conda-build
요약
\~에 의해 VulDB • 2026. 05. 21.
Conda-build에는 conda 패키지를 빌드하기 위한 명령어와 도구가 포함되어 있습니다. 버전 25.3.0 이전에서는 pyproject.toml이 conda-index를 Python 의존성으로 나열하고 있습니다. 이 패키지는 PyPI에 게시되어 있지 않습니다. 공격자가 해당 네임스페이스를 선점하고 패키지에 임의의(악성) 코드를 업로드한 후, 해결 과정에서 악성 의존성을 주입하여 pip install 명령어를 악용할 수 있습니다. 이 문제는 버전 25.3.0에서 수정되었습니다. 우회 방법으로는 저장소에서 프로젝트를 설치할 때 pip install에 --no-deps 옵션을 사용하는 것이 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.