CVE-2026-114110
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W narzędziu Astral uv przed wersją 0.11.6 występuje podatność path traversal umożliwiająca usunięcie dowolnych plików poprzez dostarczenie wheeli z względnymi ścieżkami traversal w wpisach RECORD. Złośliwy wheel może odwoływać się do plików poza prefiksem instalacji.
Ocena ryzyka
Atakujący może spowodować usunięcie plików poza katalogiem instalacji podczas odinstalowywania pakietu przez użytkownika, co może prowadzić do utraty danych lub destabilizacji systemu.
Rekomendacja
Zaktualizuj uv do wersji 0.11.6 lub nowszej. Unikaj instalowania niezaufanych wheeli.
Inne podatności w uv
Zobacz wszystkie- CVE-2026-114109Wysokie
uv przed wersją 0.11.15 zawiera podatność na przejście ścieżki, która pozwala złośliwym pakietom wheel zapisywać pliki poza katalogiem skryptów poprzez spreparowane nazwy punktów wejścia console_scripts lub gui_scripts. Atakujący, którzy nakłonią użytkowników do instalacji złośliwego pakietu wheel, mogą umieścić pliki wykonywalne w katalogach PATH, przesłaniając lub nadpisując istniejące binaria w celu wykonania kodu.
- CVE-2026-104843Średnie
uv (menedżer projektów i pakietów w Pythonie) od wersji 0.12.7 do 0.12.18 ma podatność na Windows, która pozwala na zapis pliku poza katalogiem instalacji podczas ekstrakcji złośliwego wheel. Może to umożliwić umieszczenie pliku wykonywalnego w katalogu na PATH użytkownika.
- CVE-2025-13327Średnie
W narzędziu uv wykryto lukę umożliwiającą wykonanie złośliwego kodu podczas rozwiązywania lub instalacji pakietów za pomocą specjalnie spreparowanych archiwów ZIP wykorzystujących różnice w parsowaniu; wymaga to interakcji użytkownika przy instalacji pakietu kontrolowanego przez atakującego.
Oryginalny opis (angielski, źródło NVD)
Astral uv before 0.11.6 contains a path traversal vulnerability that allows attackers to delete arbitrary files by supplying wheels with relative traversal paths in RECORD entries. Attackers can craft a malicious wheel whose RECORD references files outside the installation prefix, causing uv to delete those files when the user uninstalls the package.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS