CVE-2026-104843
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
uv (menedżer projektów i pakietów w Pythonie) od wersji 0.12.7 do 0.12.18 ma podatność na Windows, która pozwala na zapis pliku poza katalogiem instalacji podczas ekstrakcji złośliwego wheel. Może to umożliwić umieszczenie pliku wykonywalnego w katalogu na PATH użytkownika.
Ocena ryzyka
Atakujący może dostarczyć złośliwy pakiet wheel, który po zainstalowaniu na Windows zapisze plik wykonywalny w katalogu na PATH, co może prowadzić do wykonania złośliwego kodu.
Rekomendacja
Zaktualizuj uv do wersji 0.12.18 lub nowszej.
Inne podatności w uv
Zobacz wszystkie- CVE-2026-114110Średnie
W narzędziu Astral uv przed wersją 0.11.6 występuje podatność path traversal umożliwiająca usunięcie dowolnych plików poprzez dostarczenie wheeli z względnymi ścieżkami traversal w wpisach RECORD. Złośliwy wheel może odwoływać się do plików poza prefiksem instalacji.
- CVE-2026-114109Wysokie
uv przed wersją 0.11.15 zawiera podatność na przejście ścieżki, która pozwala złośliwym pakietom wheel zapisywać pliki poza katalogiem skryptów poprzez spreparowane nazwy punktów wejścia console_scripts lub gui_scripts. Atakujący, którzy nakłonią użytkowników do instalacji złośliwego pakietu wheel, mogą umieścić pliki wykonywalne w katalogach PATH, przesłaniając lub nadpisując istniejące binaria w celu wykonania kodu.
- CVE-2025-13327Średnie
W narzędziu uv wykryto lukę umożliwiającą wykonanie złośliwego kodu podczas rozwiązywania lub instalacji pakietów za pomocą specjalnie spreparowanych archiwów ZIP wykorzystujących różnice w parsowaniu; wymaga to interakcji użytkownika przy instalacji pakietu kontrolowanego przez atakującego.
Oryginalny opis (angielski, źródło NVD)
uv is a Python package and project manager written in Rust. From 0.12.7 until 0.12.18, uv wheel extraction on Windows can process a malicious wheel in a way that writes a file outside the installation prefix, including an executable in a directory already present on the user's PATH. Non-Windows hosts are not affected. This issue is fixed in version 0.12.18.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS