PT-2026-48681
CVE-2026-47781
·
تاريخ النشر
2026-06-11
·
تاريخ التحديث
2026-08-04
الوصف من
CVSS 4.0
8.4
عاليةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PDM الأقدم من 2.28.0
الوصف
يقوم PDM تلقائيًا بتحميل مسارات المكونات الإضافية المحلية للمشروع من
.pdm-plugins أثناء تهيئة Core. تستخدم هذه العملية site.addsitedir()، والتي تعالج في CPython ملفات .pth الموجودة في الدليل المضاف. إذا احتوى ملف .pth على أسطر تبدأ بـ import، يتم تنفيذ هذا الكود على الفور. وهذا يسمح للمهاجم بتنفيذ تعليمات برمجية تعسفية بامتيازات المستخدم الذي يقوم بتشغيل pdm عندما ينفذ المستخدم أي أمر، مثل pdm --version، من مستودع غير موثوق به تم سحبه. وتعتبر هذه المشكلة حرجة بشكل خاص في بيئات التكامل المستمر (CI)، وبيئات العمل (shells) ذات الامتيازات، وسياقات الأتمتة، مما قد يؤدي إلى سرقة بيانات الاعتماد، أو الاستمرارية، أو تصعيد الامتيازات في حالة التشغيل عبر sudo أو حسابات مملوكة لمستخدم root.التوصيات
قم بالتحديث إلى الإصدار 2.28.0 أو أحدث.
كحل مؤقت، تجنب تشغيل أوامر
pdm ضمن مستودعات غير موثوق بها.قم بتقييد استخدام ملفات
.pdm-plugins المحلية للمشروع عن طريق التأكد من عدم تحميلها تلقائيًا بشكل افتراضي. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾