CVE-2026-115586

Nome do Software Vulnerável e Versões Afetadas virtualenv versões 21.14.9 a 21.14.12

Description O script bash bin/activate não escapa adequadamente sinais de cifrão e crases ao copiar o valor de --prompt para a variável de ambiente PS1, caso promptvars e o modo POSIX estejam desativados durante a ativação. Um invasor que controle o valor de --prompt (que pode vir de metadados de projeto ou configurações de ferramentas) pode executar comandos como o usuário que ativa o ambiente. Isso acontece se o usuário posteriormente reativar o promptvars (via shopt -s promptvars), ativar o modo POSIX (via set -o posix) ou iniciar um shell bash filho interativo que herde o PS1 exportado. Nesses cenários, o bash expande a substituição de comando armazenada na variável VIRTUAL ENV PROMPT.

Recommendations Atualize o virtualenv para a versão 21.14.13. Como solução temporária, defina VIRTUAL ENV DISABLE PROMPT=1 antes de ativar o ambiente para ignorar o bloco de configuração do prompt. Evite passar valores não confiáveis para o parâmetro --prompt.