CVE-2026-34591
Açıklama
Poetry, Python için bir bağımlılık yöneticisidir. 1.4.0 sürümünden 2.3.3 sürümü öncesine kadar olan versiyonlarda, özel olarak hazırlanmış bir wheel dosyası, Poetry'nin kapsama kontrolleri yapmadan diske yazdığı ../ yolları içerebilir ve bu durum Poetry işleminin yetkileriyle rastgele dosya yazılmasına izin verir. Bu durum, normal kurulum akışları sırasında güvenilmeyen paket artifaktlarından erişilebilirdir. (Normalde, kötü amaçlı bir wheel yüklemek, kötü amaçlı kodun çalıştırılması için yeterli değildir. Kötü amaçlı kod, yalnızca kurulumdan sonra kullanıcı tarafından içe aktarıldığında veya çağrıldığında çalıştırılır.). Bu sorun 2.3.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- python-poetry poetry2.3.3 ya da sonraki bir sürüm
- poetry2.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python-poetry poetry | 1.4.0 ≤ v < 2.3.3 | 2.3.3 |
| poetryPyPI | 1.4.0 ≤ v < 2.3.3 | 2.3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.