Calebbrown

Astral uv before 0.8.22 contains a path traversal vulnerability in source distribution (sdist) tar extraction that allows a specially crafted sequence of symlinks to redirect file writes outside the intended extraction prefix. Attackers can publish a malicious sdist that, when installed by a victim, writes arbitrary files to filesystem locations outside the installation prefix.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** إصدارات uv 0.8.5 والإصدارات الأقدم **الوصف** uv هو مدير حزم ومشاريع Python مكتوب بلغة Rust. كانت الإصدارات 0.8.5 والإصدارات الأقدم تعالج ملفات ZIP البعيدة بشكل متدفق، دون مطابقة محتويات الملف مع الدليل الرئيسي للملف. وكان ذلك يسمح للمهاجم بإنشاء ملف ZIP يستخرج محتوى شرعيًا في بعض برامج تثبيت الحزم ومحتوى ضارًا في برامج أخرى، أو إدخال ZIP «متداخل» يحتوي على عدة ملفات ZIP داخلية، والذي كان سيتم التعامل معه بشكل مختلف من قبل برامج تثبيت الحزم المختلفة. ويمكن استغلال ذلك لاستهداف برامج تثبيت محددة. **التوصيات** يجب تحديث إصدارات uv الأقدم من 0.8.6. كحل بديل، قم بتعيين متغير البيئة `UV INSECURE NO ZIP VALIDATION` على `1` للعودة إلى السلوك السابق.