CVE-2026-47425 in pixi
요약
\~에 의해 VulDB • 2026. 07. 21.
Rattler는 conda 생태계 내에서 사용되는 공통 기능을 제공하는 라이브러리입니다. 버전 0.43.2 이전의 `rattler_conda_types`에 있는 `EntryPoint::FromStr`은 링크어가 설치 접두사(prefix)에 명령어를 연결하고 실행 가능한 Python 스크립트를 작성하기 전에 `command` 필드에 대해 `.trim()`만 수행합니다. 악성 `noarch:python` 패키지는 entry-point 이름에 `..`, `/`, `\` 또는 절대 경로가 포함된 `info/link.json`을 포함할 수 있으며, 이로 인해 생성된 파일은 Unix 환경에서 모드 `0o775`로 접두사 외부(또는 기존 인-접두사(entry-point) 항목인 `bin/pip` 등 덮어쓰기)에 작성되고 Windows에서는 복사된 런처 `.exe`가 됩니다. 이 문제는 `pixi install`, py-rattler를 통한 `mamba install`, `rattler-build` 및 `rattler` 설치 크레이트의 기타 모든 소비자에서 기본 설치 경로에 영향을 미치며, 플래그 또는 포스트 링크 스크립트 옵트인(opt-in)은 관련되지 않습니다. 버전 0.43.2에는 해당 문제에 대한 수정 사항이 포함되어 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.