- Yama var
- Son 7 gün
- CWE-23
CVE-2026-114110
Astral uv'de kötü niyetli wheel RECORD girdileriyle keyfi dosya silme açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Astral uv 0.11.6 öncesi sürümler, göreli dizin geçişi (path traversal) açığı içerir. Bu açık, saldırganların RECORD girdilerinde göreli geçiş yolları bulunan wheel dosyaları sunarak keyfi dosyaları silmesine olanak tanır. Saldırgan, RECORD kaydında kurulum öneki dışındaki dosyalara başvuran kötü niyetli bir wheel hazırlayabilir; kullanıcı paketi kaldırdığında uv bu dosyaları siler.
Kaynaktaki açıklama (İngilizce)
Astral uv before 0.11.6 contains a path traversal vulnerability that allows attackers to delete arbitrary files by supplying wheels with relative traversal paths in RECORD entries. Attackers can craft a malicious wheel whose RECORD references files outside the installation prefix, causing uv to delete those files when the user uninstalls the package.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| astral-sh uv | < 0.11.6 | 0.11.6 |
| 0.11.6 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.