- Yama var
- Son 7 gün
- CWE-59
CVE-2026-113716
virtualenv yerleşik oluşturucusu bağlantılı ortam dizinlerini takip ediyor
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
virtualenv, izole Python sanal ortamları oluşturmak için kullanılan bir araçtır. 21.14.9 sürümünden önce, yerleşik oluşturucu çalıştırılabilir, kütüphane ve paket dizinleri için ensure_dir fonksiyonunu çağırır; ensure_dir ise exists fonksiyonu sembolik bağlantıyı takip ettiği için var olan bir dizin sembolik bağlantısını kabul eder. Diğer yerel bir hesap ağacı hazırladığında ve çağıran kullanıcı hedefe erişebildiğinde, yorumlayıcı oluşturma, seed kurulumu ve etkinleştirme betiği üretimi, bağlantılı üst dizin üzerinden istenen hedefin dışına yazabilir. --clear seçeneği önce oluşturulmuş ağacı kaldırırken, normal oluşturma bu ağaca ulaşır; saldırganın seçtiği rastgele çıktı baytları ise kanıtlanmamıştır. Bu sorun 21.14.9 sürümünde giderilmiştir. CVSS 3.1 Temel Puanı: 4.5 (MEDIUM), vektör: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L
Kaynaktaki açıklama (İngilizce)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.9, the builtin creator calls ensure_dir() for executable, library, and package directories, and ensure_dir() accepts an existing symlink to a directory because exists() follows it. Interpreter creation, seed installation, and activation generation then write through the linked parent outside the requested destination when another local account prepared the tree and the invoking user can access the target. The --clear option removes the planted tree first, while ordinary creation reaches it; arbitrary attacker-selected output bytes are not established. This issue is fixed in version 21.14.9.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| pypa virtualenv | < 21.14.9 | 21.14.9 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.