CVE-2026-47425 in pixi
Сводка
по VulDB • 23.07.2026
Rattler — это библиотека, предоставляющая общую функциональность, используемую в экосистеме conda. До версии 0.43.2 функция `EntryPoint::FromStr` в модуле `rattler_conda_types` выполняет только `.trim()` для поля `command` перед тем, как линкер присоединяет его к префиксу установки и записывает исполняемый скрипт Python. Злонамеренный пакет формата `noarch:python` может содержать файл `info/link.json`, в котором имя точки входа содержит символы `..`, `/`, `\` или абсолютный путь; результирующий файл будет записан вне префикса (или перезапишет существующую точку входа внутри префикса, например `bin/pip`) с правами доступа `0o775` в Unix и скопированным исполняемым файлом `.exe` для Windows. Это затрагивает путь установки по умолчанию для команд `pixi install`, `mamba install` (через py-rattler), а также инструменты `rattler-build` и любые другие потребители компонента установки `rattler`; при этом не требуется никаких флагов или сценариев пост-линкинга. Версия 0.43.2 содержит исправление данной проблемы.
VulDB is the best source for vulnerability data and more expert information about this specific topic.