virtualenv bash activate runs commands from an environment name with a backslash before $

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.7, the bash activate script escapes the environment name for only one of the two passes bash makes over PS1, so a backslash in the name undoes the escaping and a name containing \$(...) runs as commands in the user's shell each time bash draws the prompt. This issue is fixed in version 21.14.7.

Etkilenen sürümler1 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ualenv/security/advisories/GHSA-vxj4-q4g9-crj7 Diğer
• github.com/…ommit/c3104e02474b652832a9bbaae79f6e1696296932 Diğer
• github.com/pypa/virtualenv/releases/tag/21.14.7 Diğer

Kayıt geçmişi

1. 20 Eki 2026 22:56Yayımlandı

İlgili açıklar

• 7,1 CVE-2026-115586virtualenv Bash aktivatöründe --prompt değeri kaçışlanmadan PS1'e yazılıyor, komut çalıştırmaya yol açıyor
• 7,8 CVE-2026-113726virtualenv zsh activate betiğinde ortam adı üzerinden komut çalıştırma açığı
• 7,8 CVE-2026-113776virtualenv etkinleştirme betikleri, adında yer tutucu ifadesi bulunan yoldan kod çalıştırabiliyor
• 7,8 CVE-2026-113732virtualenv activate.fish betiğinde tırnak öncesi ters eğik çizgi nedeniyle komut çalıştırma açığı
• 4,5 CVE-2026-113724virtualenv'de silme kurtarma işlemi bir sembolik bağın hedefinin kipini değiştirebiliyor
• 7,1 CVE-2026-113723virtualenv'de Bash istem değerleri eski uyumluluk modlarında anlam değiştirebiliyor