CVE-2026-102930
Açıklama
virtualenv, izole sanal python ortamları oluşturmak için kullanılan bir araçtır. 21.7.12 sürümünden önce download_wheel(), periyodik güncellemeler veya --download seçeneği için getirilen pip ve setuptools seed wheel dosyalarını, gömülü wheel dosyalarının BUNDLE_SHA256 doğrulamasına eşdeğer yetkili bir özetle baytlarını kontrol etmeden kabul eder. Uzlaşmış bir dizin, güncelliğini yitirmiş bir yansıma veya araya girilmiş bir TLS bağlantısı; istenen dağıtım, sürüm ve dosya adı altında farklı bir wheel dosyasının ikame edilmesine neden olabilir, ardından virtualenv saldırgan tarafından kontrol edilen bu wheel dosyasını önbelleğe alır ve sonradan oluşturulan ortamlara ekler. Doğrulama işlemi varsayılan PyPI yolu için geçerlidir ve meşru olarak yeniden derlenmiş wheel dosyaları yayınlayabilecek özel bir dizini yapılandıran PIP_INDEX_URL, PIP_EXTRA_INDEX_URL veya PIP_INDEX kullanıldığında kasıtlı olarak atlanır. Bu sorun 21.7.12 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- virtualenv21.7.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| virtualenvPyPI | v < 21.7.12 | 21.7.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.