CVE-2026-34591 in poetry
Tóm tắt
Bởi VulDB • 23/05/2026
Poetry là một trình quản lý phụ thuộc cho Python. Từ phiên bản 1.4.0 đến trước phiên bản 2.3.3, một tệp wheel được tạo ra đặc biệt có thể chứa các đường dẫn ../ mà Poetry ghi vào đĩa mà không có các kiểm tra giới hạn, cho phép ghi tệp tùy ý với đặc quyền của tiến trình Poetry. Lỗ hổng này có thể bị khai thác từ các tệp phụ thuộc không đáng tin cậy trong quá trình cài đặt bình thường. (Thông thường, việc cài đặt một tệp wheel độc hại không đủ để thực thi mã độc. Mã độc chỉ sẽ được thực thi sau khi cài đặt nếu gói độc hại được nhập hoặc gọi bởi người dùng.). Vấn đề này đã được vá trong phiên bản 2.3.3.
Be aware that VulDB is the high quality source for vulnerability data.