CVE-2026-47764
Açıklama
pdm, en güncel PEP standartlarını destekleyen bir Python paket ve bağımlılık yöneticisidir. 2.27.0 öncesi sürümler, write_to_fs aracılığıyla yol geçişine (path traversal) karşı savunmasızdır. src/pdm/installers/installers.py içindeki InstallDestination.write_to_fs(), symlink/hardlink desteği eklemek için temel sınıfı geçersiz kılar, ancak güvenli _path_with_destdir() yöntemini (Path.resolve() + is_relative_to() ile doğrulama yapan) hiçbir yol doğrulaması yapmayan düz bir os.path.join() ile değiştirir. Yol geçişi girdileri içeren kötü niyetli bir wheel, rastgele dosyalar yazabilir. Bu sorun 2.27.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- pdm2.27.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pdmPyPI | v < 2.27.0 | 2.27.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.