CVE-2026-102930
Təsvir
virtualenv izolyasiya olunmuş virtual python mühitləri yaratmaq üçün bir alətdir. 21.7.12 versiyasından əvvəl download_wheel() funksiyası dövri yeniləmələr və ya --download seçimi üçün əldə edilən pip və setuptools toxum wheel fayllarını, daxili wheel fayllarının BUNDLE_SHA256 yoxlamasına ekvivalent olan rəsmi həzm (digest) ilə baytlarını müqayisə etmədən qəbul edir. Kompromisə uğramış indeks, köhnəlmiş güzgü (mirror) və ya tutulmuş TLS bağlantısı sorğu edilən paylanma, versiya və fayl adı altında fərqli wheel faylı təyin edə bilər, bundan sonra virtualenv hücumçunun nəzarətində olan wheel faylını keşləyir və sonradan yaradılan mühitlərə yerləşdirir. Yoxlama standart PyPI yolu üçün tətbiq edilir və PIP_INDEX_URL, PIP_EXTRA_INDEX_URL və ya PIP_INDEX konfiqurasiyaları vasitəsilə qanuni şəkildə yenidən qurulmuş wheel faylları dərc edə bilən xüsusi indeks təyin edildikdə qəsdən ötürülür. Bu problem 21.7.12 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- virtualenv21.7.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| virtualenvPyPI | v < 21.7.12 | 21.7.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.