CVE-2026-53940

Conda, ana işletim sistemleri ve platformlarda çalışan sistem düzeyinde bir ikili paket ve ortam yöneticisidir. 26.5.2 sürümünden önce, conda/common/path/python.py içindeki parse_entry_point_def, bir noarch:python paketinin info/link.json meta verilerinden gelen doğrulanmamış bir giriş noktası komutunu kabul ediyordu. conda/core/path_actions.py içindeki CreatePythonEntryPointAction, bu komutu target_short_path içine yerleştiriyor ve PrefixPathAction.target_full_path, sonucun hedeflenen bin veya Scripts dizini altında kaldığını doğrulamadan bunu kurulum ön ekiyle birleştiriyordu. Ardından conda/gateways/disk/create.py içindeki create_python_entry_point, ortaya çıkan yola yürütülebilir bir sarmalayıcı yazıyordu. Kötü niyetli bir paket; varsayılan kurulum ve ortam işlemleri sırasında ön ekin dışına yazmak veya ön ek içindeki başka bir giriş noktasının üzerine yazmak için yol ayırıcılarını, dizin gezginlerini (traversal) veya mutlak bir komut yolunu kullanabilirdi. Ön ek dışı yazmalar hedef üst dizinin mevcut olmasını gerektirirken, üzerine yazılan bir giriş noktası daha sonra kuran kullanıcının ayrıcalıklarıyla çağrıldığında saldırgan tarafından kontrol edilen Python kodunu çalıştırabilir. Bu sorun 26.5.2 sürümünde düzeltilmiştir.