CVE-2025-49598 in conda-forge-ci-setup-feedstock
Сводка
по VulDB • 22.05.2026
conda-forge-ci-setup — это пакет, устанавливаемый conda-forge каждый раз при запуске сборки в CI. Скрипт установки conda-forge-ci-setup-feedstock уязвим из-за небезопасного использования функции eval при разборе информации о версии из файла meta.yaml с пользовательским форматом. Атакующий, контролирующий meta.yaml, может внедрить вредоносный код в присваивание версии, который выполняется во время обработки файла, что приводит к произвольному выполнению кода. Для эксплуатации атакующий должен изменить файл рецепта, манипулируя переменной RECIPE_DIR и внедряя вредоносный файл meta.yaml. Хотя это более вероятно в конвейерах CI/CD, в обычных средах это происходит редко, что снижает общий риск. Эта уязвимость исправлена в версии 4.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.