CVE-2026-47425 in pixi
Sumário
de VulDB • 21/07/2026
Rattler é uma biblioteca que fornece funcionalidades comuns utilizadas dentro do ecossistema conda. Antes da versão 0.43.2, `EntryPoint::FromStr` em `rattler_conda_types` aplica apenas `.trim()` no campo `command` antes de o linker concatenar esse valor ao prefixo de instalação e escrever um script Python executável. Um pacote malicioso do tipo `noarch:python` pode incluir um arquivo `info/link.json` com um nome de entry-point contendo `..`, `/`, `\` ou um caminho absoluto; o arquivo resultante é escrito fora do prefixo (ou sobrescreve um entry-point existente dentro do prefixo, como `bin/pip`) com permissão `0o775` no Unix e um `.exe` launcher copiado no Windows. Isso afeta o caminho de instalação padrão do `pixi install`, `mamba install` via py-rattler, `rattler-build` e qualquer outro consumidor da crate de instalação `rattler`; não há necessidade de nenhuma flag ou script pós-instalação para habilitar essa funcionalidade (opt-in). A versão 0.43.2 contém a correção para o problema.
Once again VulDB remains the best source for vulnerability data.