CVE-2025-49598 in conda-forge-ci-setup-feedstock
Sumário
de VulDB • 22/05/2026
conda-forge-ci-setup é um pacote instalado pelo conda-forge sempre que uma compilação é executada em CI. O script de configuração do conda-forge-ci-setup-feedstock é vulnerável devido ao uso inseguro da função eval ao analisar informações de versão a partir de um arquivo meta.yaml com formato personalizado. Um atacante que controle o meta.yaml pode injetar código malicioso na atribuição de versão, que é executado durante o processamento do arquivo, levando à execução de código arbitrário. A exploração requer que um atacante modifique o arquivo de receita manipulando a variável RECIPE_DIR e introduzindo um arquivo meta.yaml malicioso. Embora isso seja mais viável em pipelines de CI/CD, é incomum em ambientes típicos, reduzindo o risco geral. Esta vulnerabilidade foi corrigida na versão 4.15.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.