CVE-2026-47781

PDM bir Python paket ve bağımlılık yöneticisidir. 2.26.9 dahil önceki sürümlerde PDM, başlatma sırasında .pdm-plugins dizininden proje yerel eklentilerini otomatik olarak yükler; bu durum, güvenilmeyen bir depo kopyalamasındaki saldırgan kontrollü bir dosyanın, herhangi bir komut ayrıştırılmadan önce rastgele Python kodu çalıştırmasına olanak tanır. Bu durum, load_plugins() fonksiyonunun Core.init() sırasında çalışması ve .pth dosyalarını işleyip import ile başlayan her satırı anında çalıştıran site.addsitedir() aracılığıyla .pdm-plugins dizinini eklemesi nedeniyle gerçekleşir; böylece kod, pdm'yi çağıran kullanıcının yetkileriyle çalışır ve pdm --version gibi zararsız bir komut bile bunu tetikler (bu da etkiyi CI, otomasyon ve ayrıcalıklı bağlamlarda en güçlü hale getirir). Sorun 2.27.0 sürümünde düzeltilmiştir.