CVE-2025-47273
ŚrednieStreszczenie
Setuptools to pakiet umożliwiający pobieranie, budowanie, instalowanie, uaktualnianie i usuwanie pakietów Pythona. Podatność typu path traversal w PackageIndex występuje w setuptools przed wersją 78.1.1. Atakujący może zapisywać pliki w dowolnych lokalizacjach w systemie plików.
Ocena ryzyka
Atakujący może nadpisać krytyczne pliki systemowe lub konfiguracyjne, co może prowadzić do zdalnego wykonania kodu lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację setuptools do wersji 78.1.1 lub nowszej.
Inne podatności w setuptools
Zobacz wszystkie- GHSA-xmj3-9gf7-h52wNiskie
W systemie Windows zawartość pliku .dist-info/namespace_packages.txt w kole (wheel) kontrolowana przez atakującego może spowodować, że starsza ścieżka instalacji setuptools utworzy plik __init__.py poza wskazanym katalogiem destination_eggdir. Atakujący może wpłynąć na ścieżkę docelową, ale nie na zawartość pliku.
- CVE-2026-59890Średnie
W setuptools przed wersją 83.0.0, dyrektywy MANIFEST.in (exclude, global-exclude, recursive-exclude, prune) były stosowane bez normalizacji Unicode, co na systemach plików macOS APFS lub HFS+ pozwalało na ominięcie reguł wykluczania i włączenie plików o nazwach w formie NFD do dystrybucji źródłowej.
Oryginalny opis (angielski, źródło NVD)
setuptools is a package that allows users to download, build, install, upgrade, and uninstall Python packages. A path traversal vulnerability in `PackageIndex` is present in setuptools prior to version 78.1.1. An attacker would be allowed to write files to arbitrary locations on the filesystem with
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS