Podatności uv
4 znanych podatności CVE w uv, przetłumaczonych i ocenionych.
- CVE-2026-114110Średnie
W narzędziu Astral uv przed wersją 0.11.6 występuje podatność path traversal umożliwiająca usunięcie dowolnych plików poprzez dostarczenie wheeli z względnymi ścieżkami traversal w wpisach RECORD. Złośliwy wheel może odwoływać się do plików poza prefiksem instalacji.
- CVE-2026-114109Wysokie
uv przed wersją 0.11.15 zawiera podatność na przejście ścieżki, która pozwala złośliwym pakietom wheel zapisywać pliki poza katalogiem skryptów poprzez spreparowane nazwy punktów wejścia console_scripts lub gui_scripts. Atakujący, którzy nakłonią użytkowników do instalacji złośliwego pakietu wheel, mogą umieścić pliki wykonywalne w katalogach PATH, przesłaniając lub nadpisując istniejące binaria w celu wykonania kodu.
- CVE-2026-104843Średnie
uv (menedżer projektów i pakietów w Pythonie) od wersji 0.12.7 do 0.12.18 ma podatność na Windows, która pozwala na zapis pliku poza katalogiem instalacji podczas ekstrakcji złośliwego wheel. Może to umożliwić umieszczenie pliku wykonywalnego w katalogu na PATH użytkownika.
- CVE-2025-13327Średnie
W narzędziu uv wykryto lukę umożliwiającą wykonanie złośliwego kodu podczas rozwiązywania lub instalacji pakietów za pomocą specjalnie spreparowanych archiwów ZIP wykorzystujących różnice w parsowaniu; wymaga to interakcji użytkownika przy instalacji pakietu kontrolowanego przez atakującego.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS