CVE-2026-34591

إصدارات Poetry من 1.4.0 إلى 2.3.2

يحتوي Poetry، وهو مدير تبعيات لغة Python، على ثغرة تتعلق باجتياز المسار. يمكن أن يتضمن ملف wheel مصمم خصيصًا مسارات ”..“ التي يكتبها Poetry على القرص دون إجراء فحوصات احتواء مناسبة. وهذا يسمح بكتابة ملفات عشوائية باستخدام امتيازات عملية Poetry، مما قد يؤثر على المستخدمين وأنظمة CI/CD وتثبيت الحزم الخبيثة أو المخترقة. يمكن الوصول إلى هذه المشكلة أثناء عمليات التثبيت العادية من عناصر الحزم غير الموثوق بها. تحدث هذه الثغرة الأمنية لأن Poetry يربط مسار إدخال ملف wheel غير موثوق به مباشرةً دون فرض حماية من نوع resolve() أو is relative to() قبل الكتابة.

قم بالتحديث إلى إصدار Poetry 2.3.3 أو أحدث.