CVE-2026-102938

Nome do Software Vulnerável e Versões Afetadas virtualenv versões anteriores a 21.7.11

Descrição A função PyEnvCfg.write() grava valores de prompt literalmente no formato pyvenv.cfg orientado a linhas, enquanto a PyEnvCfg. read values() analisa o arquivo usando str.splitlines() e aceita o último valor para chaves duplicadas. Um invasor que consiga influenciar o argumento --prompt, a variável VIRTUALENV PROMPT ou a entrada de configuração pode inserir um delimitador de linha e chaves adicionais, como home. Isso pode levar os consumidores a utilizarem um interpretador base selecionado pelo invasor ou metadados de ambiente corrompidos. Este problema requer a entrada de prompt vinda de fora do limite de confiança do operador.

Recomendações Atualize o virtualenv para a versão 21.7.11.