CVE-2026-34591
Təsvir
Poetry Python üçün asılılıq meneceridir. Versiya 1.4.0-dan versiya 2.3.3-ə qədər olan hissədə, xüsusi hazırlanmış wheel faylı məhdudiyyət yoxlamaları olmadan Poetry tərəfindən diskə yazılan ../ yollarını ehtiva edə bilər ki, bu da Poetry prosesinin imtiyazları ilə istənilən faylın yazılmasına imkan verir. Bu boşluğa adi quraşdırma axınları zamanı etibarsız paket artefaktlarından daxil olmaq mümkündür. (Normalda zərərli wheel-in quraşdırılması zərərli kodun icrası üçün kifayət deyil. Zərərli kod yalnız quraşdırıldıqdan sonra həmin zərərli paket istifadəçi tərəfindən idxal edildikdə və ya çağırıldıqda icra olunacaq). Bu problem versiya 2.3.3-də aradan qaldırılmışdır.
Necə düzəltmək olar
- python-poetry poetry2.3.3 və ya daha yeni versiya
- poetry2.3.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| python-poetry poetry | 1.4.0 ≤ v < 2.3.3 | 2.3.3 |
| poetryPyPI | 1.4.0 ≤ v < 2.3.3 | 2.3.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.