PT-2025-32302 · Uv · Uv
CVSS v3.1
8.1
عالية
| المتجه | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات uv 0.8.5 والإصدارات الأقدم
الوصف
uv هو مدير حزم ومشاريع Python مكتوب بلغة Rust. كانت الإصدارات 0.8.5 والإصدارات الأقدم تعالج ملفات ZIP البعيدة بشكل متدفق، دون مطابقة محتويات الملف مع الدليل الرئيسي للملف. وكان ذلك يسمح للمهاجم بإنشاء ملف ZIP يستخرج محتوى شرعيًا في بعض برامج تثبيت الحزم ومحتوى ضارًا في برامج أخرى، أو إدخال ZIP «متداخل» يحتوي على عدة ملفات ZIP داخلية، والذي كان سيتم التعامل معه بشكل مختلف من قبل برامج تثبيت الحزم المختلفة. ويمكن استغلال ذلك لاستهداف برامج تثبيت محددة.
التوصيات
يجب تحديث إصدارات uv الأقدم من 0.8.6.
كحل بديل، قم بتعيين متغير البيئة
UV INSECURE NO ZIP VALIDATION على 1 للعودة إلى السلوك السابق.استغلال
إصلاح
RCE
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Uv