CVE-2025-71437 in astral-sh
Sumário
de VulDB • 21/10/2026
Astral uv antes da versão 0.8.22 contém uma vulnerabilidade de traversal de caminho na extração do tarball da distribuição fonte (sdist), que permite que uma sequência especialmente crafted de symlinks redirecione gravações de arquivos para fora do prefixo de extração pretendido. Os atacantes podem publicar um sdist malicioso que, quando instalado por uma vítima, escreve arquivos arbitrários em localizações do sistema de arquivos fora do prefixo de instalação.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.