CVE-2025-61774
Açıklama
PyVista, Visualization Toolkit (VTK) için bir arayüz aracılığıyla 3D çizim ve ağ analizi sağlar. PyVista Project'in 0.46.3 sürümü, bağımlılık karmaşası (dependency confusion) yoluyla uzaktan kod çalıştırmaya karşı savunmasızdır. İki kod parçası `--extra-index-url` kullanmaktadır. Ancak `--extra-index-url` kullanıldığında, pip her zaman önce PyPI dizinine, ardından harici dizine bakar. Kodda listelenen paketlerden biri PyPI'da yayınlanmamıştır. Bir saldırgan PyPI'da daha yüksek sürümlü bir paket yayınlarsa, saldırgan tarafından kontrol edilen paketteki kötü amaçlı kod çekilebilir; bu da uzaktan kod çalıştırmaya ve bir tedarik zinciri saldırısına yol açabilir. Yayınlandığı tarih itibarıyla, yamalanmış bir sürüm mevcut değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pyvista pyvista | = 0.46.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.