CVE-2026-113719

virtualenv, izole sanal python ortamları oluşturmak için kullanılan bir araçtır. 21.14.9 sürümünden önce, PipInstall._uninstall_previous_version() mevcut seed-paket meta verilerini kabul eder ve _uninstall_dist(), top_level.txt ile RECORD girişlerini kapsama kontrolü yapmadan site-packages dizinine ekler. Yeniden kullanılan bir hedef konum başka bir hesap tarafından etkilenen dağıtım meta verileri içerdiğinde; göreceli dizin geçişleri (relative traversal), mutlak girişler veya bağlantılı üst dizinler, uygulama veri yeniden ekiminin (app-data reseeding) ortam dışındaki dosyaları veya ortam kök dizinini çağıran kullanıcının izinleriyle silmesine neden olabilir; ancak bu durum, söz konusu kullanıcının belirtilen yollar üzerinde silme haklarına sahip olması şartına bağlıdır. Silme işlemi, ortamın daha sonraki herhangi bir kullanımı öncesinde, ortam oluşturma sırasında gerçekleşir. Mevcut paket meta verisi bulunmayan yeni ortamlar ve --clear parametresiyle yapılan kurulumlar bu temizleme yoluna girmez. Bu sorun 21.14.9 sürümünde düzeltilmiştir.