CVE-2026-13346
Açıklama
pip, indekslerden gelen çift kodlanmış paket URL'lerini hatalı bir şekilde işleyerek, wheel dosyaları yüklenirken bile dosyaların disk üzerinde rastgele konumlara yüklenmesine izin verir. Bu zafiyetin başarılı olması için kötü niyetli bir paket indeksinden paket indirilmesi veya yüklenmesi gerekir; tek başına kötü niyetli paketler bu zafiyeti istismar edemez. Bu zafiyetin yalnızca `--only-binary` seçeneğiyle `pip download` komutunu çalıştıran kullanıcıları maddi olarak etkilediğini unutmayın; çünkü güvenilmeyen bir indeksten kaynak dağıtımları yüklemek, kurulum sırasında kod çalıştıran ve zaten güvensiz olan bir işlemdir.
Nasıl düzeltilir
- pypa pip26.2 ya da sonraki bir sürüm
- pip26.2.0, 26.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pypa pip | v < 26.2 | 26.2 |
| pipPyPI | v < 26.2.0, v < 26.2 | 26.2.0, 26.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.