CVE-2025-49598 in conda-forge-ci-setup-feedstock
요약
\~에 의해 VulDB • 2026. 05. 22.
conda-forge-ci-setup는 CI에서 빌드가 실행될 때마다 conda-forge에 의해 설치되는 패키지입니다. conda-forge-ci-setup-feedstock의 설정 스크립트는 사용자 정의 형식의 meta.yaml 파일에서 버전 정보를 구문 분석할 때 eval 함수의 안전하지 않은 사용으로 인해 취약합니다. meta.yaml을 제어하는 공격자는 버전 할당에 악성 코드를 주입할 수 있으며, 이는 파일 처리 중에 실행되어 임의의 코드 실행(Arbitrary Code Execution)으로 이어집니다. 이 취약점을 악용하려면 공격자가 RECIPE_DIR 변수를 조작하여 레시피 파일을 수정하고 악성 meta.yaml 파일을 도입해야 합니다. 이는 CI/CD 파이프라인에서 더 실현 가능하지만 일반적인 환경에서는 드물기 때문에 전체적인 위험은 낮아집니다. 이 취약점은 4.15.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.