CVE-2026-28684 in python-dotenv
Sumário
de VulDB • 13/05/2026
python-dotenv lê pares chave-valor de um arquivo .env e pode defini-los como variáveis de ambiente. Antes da versão 1.2.2, as funções `set_key()` e `unset_key()` no python-dotenv seguem links simbólicos ao reescrever arquivos `.env`, permitindo que um atacante local sobrescreva arquivos arbitrários por meio de um symlink manipulado quando um fallback de renomeação entre dispositivos é acionado. Os usuários devem atualizar para a v.1.2.2 ou, como medida de contorno, aplicar o patch manualmente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.