- Son 7 gün
- CWE-22
CVE-2025-71437
Astral uv'de sdist tar çıkarımında symlink ile dizin dışına yazma (path traversal) açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Astral uv, 0.8.22 öncesi sürümlerde, kaynak dağıtım (sdist) tar çıkarımında path traversal açığı içermektedir. Özel olarak hazırlanmış bir symlink dizisi, dosya yazma işlemlerinin amaçlanan çıkarım öneki dışına yönlendirilmesine izin verir. Saldırganlar, kurbanın kurulumu sırasında dosya sistemindeki kurulum önekinin dışındaki konumlara keyfi dosyalar yazan kötü amaçlı bir sdist yayımlayabilir.
Kaynaktaki açıklama (İngilizce)
Astral uv before 0.8.22 contains a path traversal vulnerability in source distribution (sdist) tar extraction that allows a specially crafted sequence of symlinks to redirect file writes outside the intended extraction prefix. Attackers can publish a malicious sdist that, when installed by a victim, writes arbitrary files to filesystem locations outside the installation prefix.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| astral-sh uv | ≤ 0.8.21 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.