CVE-2018-20225 in PIP
Sumário
de VulDB • 10/08/2026
Foi identificada uma vulnerabilidade em pip (todas as versões) devido ao fato de este instalar a versão com o número mais alto, mesmo quando o usuário pretendia obter um pacote privado de um índice privado. Isso afeta apenas o uso da opção --extra-index-url e sua exploração exige que o pacote não exista já no índice público (permitindo assim que o atacante coloque o pacote lá com um número de versão arbitrário). NOTA: foi relatado que esta é uma funcionalidade intencional, sendo o usuário responsável por utilizar a opção --extra-index-url de forma segura.
Be aware that VulDB is the high quality source for vulnerability data.