- Yama var
- Son 7 gün
- CWE-78
- CWE-116
CVE-2026-113732
virtualenv activate.fish betiğinde tırnak öncesi ters eğik çizgi nedeniyle komut çalıştırma açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
virtualenv, izole Python sanal ortamları oluşturmaya yarayan bir araçtır. 21.14.2 sürümünden önceki sürümlerde FishActivator, ViaTemplateActivator.quote yöntemini devralır; bu yöntem fish kabuğunun ters eğik çizgi ve tek tırnakları farklı yorumlamasına rağmen POSIX shlex.quote fonksiyonunu kullanır. Saldırganın etkileyebildiği bir ortam yolu, --prompt parametresi veya VIRTUALENV_PROMPT değerinde, bir tırnaktan önce ters eğik çizgi bulunursa, üretilen fish dizesi sonlandırılabilir ve kullanıcı activate.fish dosyasını kaynak olarak yüklediğinde komut yerine koyma (command substitution) yoluyla komut çalıştırılabilir. Bu sorun 21.14.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.2, FishActivator inherits ViaTemplateActivator.quote(), which uses POSIX shlex.quote() even though fish interprets backslashes and single quotes differently. An attacker-influenced environment path, --prompt, or VIRTUALENV_PROMPT value containing a backslash before a quote can therefore terminate the generated fish literal and execute command substitution when the user sources activate.fish. This issue is fixed in version 21.14.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| pypa virtualenv | < 21.14.2 | 21.14.2 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.