CVE-2026-47763 in pdm
요약
\~에 의해 VulDB • 2026. 08. 06.
pdm는 최신 PEP 표준을 지원하는 Python 패키지 및 의존성 관리 도구입니다. 버전 2.27.0 이전의 pdm에서는 심볼릭 링크 보호 없이 여러 프로젝트 로컬 상태 또는 구성 파일을 작성합니다. 악의적인 저장소가 이러한 파일을 심볼릭 링크로 배치할 경우, 로컬 PDM 작업이 심볼릭 링크 대상 파일을 덮어쓸 수 있습니다. 이는 호출 사용자의 권한에 따라 임의 파일 삭제(clobber) 원리를 생성합니다. Config.__init__()은 프로젝트 로컬 pdm.toml 경로를 해결하고 _save_config()는 해결된 대상으로 작성합니다. PROJECT_ROOT/pdm.toml이 다른 파일을 가리키는 심볼릭 링크인 경우, `pdm config -l ...` 명령어는 쓰기 작업을 거부하는 대신 대상 파일을 업데이트합니다.
직접 작성되는 다른 프로젝트 로컬 지속성 경로에서도 동일한 일반적인 문제가 존재하며, lstat 또는 O_NOFOLLOW 보호가 적용되지 않습니다. pdm.toml PoC의 경우, 대상 파일은 이미 구문 분석 가능한 TOML 형식을 포함하고 있어야 합니다. 그렇지 않으면 쓰기 경로에 도달하기 전에 로드 단계에서 실패합니다. 이러한 파서 제약 조건은 .pdm-python 또는 .python-version 싱크에는 적용되지 않습니다. 이 문제는 버전 2.27.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.