Gaborbernat

**Nome do Software Vulnerável e Versões Afetadas** virtualenv versões anteriores a 21.7.13 **Description** Os scripts activate (bash e zsh) e activate.fish gerados colocam valores já escapados por shlex.quote dentro de um contexto cotado adicional. Nos scripts bash e zsh, um caminho de ambiente virtual manipulado pode atingir a variável ` VIRTUAL ENV ` quando o diretório registrado de um ambiente realocado está ausente. No script fish, caminhos de biblioteca Tcl ou Tk manipulados podem atingir as variáveis ` TCL LIBRARY ` ou ` TK LIBRARY `. Essas aspas excedentes podem encerrar a execução cotada apenas de dados, fazendo com que metacaracteres do shell sejam interpretados como comandos quando um usuário executa o script de ativação, permitindo a execução de código com os privilégios desse usuário. **Recommendations** Atualize para a versão 21.7.13.

**Nome do Software Vulnerável e Versões Afetadas** virtualenv versões anteriores a 21.7.12 **Descrição** A função `download wheel()` não verifica os bytes dos wheels de semente do pip e setuptools obtidos durante atualizações periódicas ou através da opção `--download` contra um digest autoritativo, diferentemente da verificação BUNDLE SHA256 usada para wheels incorporados. Isso permite que um índice comprometido, espelho desatualizado ou conexão TLS interceptada substitua um wheel malicioso sob a distribuição, versão e nome de arquivo solicitados. Uma vez substituído, o wheel controlado pelo invasor é armazenado em cache e semeado em todos os ambientes criados posteriormente. Esta verificação é aplicada apenas ao caminho padrão do PyPI e é ignorada quando índices personalizados são configurados via `PIP INDEX URL`, `PIP EXTRA INDEX URL` ou `PIP INDEX`. **Recomendações** Atualizar para a versão 21.7.12.

**Nome do Software Vulnerável e Versões Afetadas** virtualenv versões anteriores a 21.7.12 **Descrição** A função `BatchActivator.quote()` não sanitiza adequadamente o texto do prompt antes de ele ser inserido em uma instrução set do `cmd.exe` dentro do arquivo `activate.bat`. Um invasor capaz de influenciar a flag `--prompt`, a variável `VIRTUALENV PROMPT` ou o valor de configuração relacionado pode injetar aspas duplas para encerrar a atribuição da variável e executar comandos arbitrários. Esses comandos são executados com os privilégios do usuário que ativa o ambiente Windows gerado. **Recomendações** Atualize o virtualenv para a versão 21.7.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** virtualenv versões anteriores a 21.7.11 **Descrição** A função `PyEnvCfg.write()` grava valores de prompt literalmente no formato pyvenv.cfg orientado a linhas, enquanto a `PyEnvCfg. read values()` analisa o arquivo usando `str.splitlines()` e aceita o último valor para chaves duplicadas. Um invasor que consiga influenciar o argumento `--prompt`, a variável `VIRTUALENV PROMPT` ou a entrada de configuração pode inserir um delimitador de linha e chaves adicionais, como `home`. Isso pode levar os consumidores a utilizarem um interpretador base selecionado pelo invasor ou metadados de ambiente corrompidos. Este problema requer a entrada de prompt vinda de fora do limite de confiança do operador. **Recomendações** Atualize o virtualenv para a versão 21.7.11.