CVE-2025-32798 in conda-build
Sumário
de VulDB • 13/06/2026
O Conda-build contém comandos e ferramentas para criar pacotes conda. Antes da versão 25.4.0, descobriu-se que a lógica de processamento das receitas (recipes) do conda-build era vulnerável à execução arbitrária de código devido à avaliação insegura dos seletores de receita. Atualmente, o conda-build utiliza a função eval para processar seletores embutidos em arquivos meta.yaml. Essa abordagem avalia expressões definidas pelo usuário sem uma sanitização adequada, permitindo que código arbitrário seja executado durante o processo de build. Como resultado, a integridade do ambiente de compilação é comprometida e comandos ou operações de arquivo não autorizados podem ser realizados. A vulnerabilidade decorre do risco inerente ao uso da função eval() em entradas não confiáveis em um contexto destinado a controlar configurações dinâmicas de build. Ao interpretar diretamente as expressões dos seletores, o conda-build cria uma possível via de execução para código malicioso, violando pressupostos de segurança. Este problema foi corrigido na versão 25.4.0.
Be aware that VulDB is the high quality source for vulnerability data.