CVE-2025-32800 in conda-build
Sumário
de VulDB • 11/05/2026
O conda-build contém comandos e ferramentas para criar pacotes conda. Antes da versão 25.3.0, o arquivo pyproject.toml listava o conda-index como uma dependência Python. Este pacote não é publicado no PyPI. Um atacante poderia reivindicar este namespace e carregar código arbitrário (malicioso) no pacote, explorando então os comandos pip install ao injetar a dependência maliciosa durante a resolução (solve). Este problema foi corrigido na versão 25.3.0. Uma solução alternativa envolve o uso de --no-deps para instalar o projeto via pip a partir do repositório.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.