CVE-2025-49598 in conda-forge-ci-setup-feedstock
Tóm tắt
Bởi VulDB • 22/05/2026
conda-forge-ci-setup là một gói được cài đặt bởi conda-forge mỗi khi một bản dựng được chạy trên CI. Kịch bản thiết lập (setup script) của conda-forge-ci-setup-feedstock dễ bị tổn thương do việc sử dụng hàm eval một cách không an toàn khi phân tích thông tin phiên bản từ tệp meta.yaml có định dạng tùy chỉnh. Một kẻ tấn công kiểm soát được meta.yaml có thể tiêm mã độc vào phần gán phiên bản, mã này sẽ được thực thi trong quá trình xử lý tệp, dẫn đến việc thực thi mã tùy ý (arbitrary code execution). Việc khai thác yêu cầu kẻ tấn công phải sửa đổi tệp công thức (recipe file) bằng cách thao túng biến RECIPE_DIR và đưa vào một tệp meta.yaml độc hại. Mặc dù điều này khả thi hơn trong các quy trình CI/CD, nhưng nó không phổ biến trong các môi trường thông thường, làm giảm rủi ro tổng thể. Lỗ hổng này đã được sửa trong phiên bản 4.15.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.