CVE-2025-32798

Conda-build conda paketlərini qurmaq üçün komandalar və alətlər ehtiva edir. 25.4.0 versiyasından əvvəl conda-build resept emalı məntiqinin resept selektorlarının təhlükəsiz olmayan qiymətləndirilməsi səbəbindən ixtiyari kodun icrasına həssas olduğu aşkar edilmişdir. Hazırda conda-build meta.yaml fayllarında yerləşdirilmiş selektorları emal etmək üçün eval funksiyasından istifadə edir. Bu yanaşma istifadəçi tərəfindən müəyyən edilmiş ifadələri lazımi təmizləmə olmadan qiymətləndirir ki, bu da qurma prosesi zamanı ixtiyari kodun icrasına imkan verir. Nəticədə qurma mühitinin bütövlüyü pozulur və icazəsiz komandalar və ya fayl əməliyyatları həyata keçirilə bilər. Zəiflik dinamik qurma konfiqurasiyalarına nəzarət etmək üçün nəzərdə tutulmuş kontekstdə etibarsız girişə eval() tətbiq edilməsinin təbii riskindən irəli gəlir. Selektor ifadələrini birbaşa şərh etməklə conda-build zərərli kod üçün potensial icra yolu yaradır və təhlükəsizlik fərziyyələrini pozur. Bu problem 25.4.0 versiyasında düzəldilmişdir.