CVE-2026-47763

Nome do Software Vulnerável e Versões Afetadas PDM versões anteriores a 2.28.0-1.1

Description O PDM grava arquivos de estado e configuração locais do projeto sem proteção contra links simbólicos (symlinks), permitindo que um repositório malicioso utilize symlinks para sobrescrever arquivos fora da raiz do repositório. Isso cria um primitivo de substituição arbitrária de arquivos (file clobber) com base nos privilégios do usuário que executa o comando. O problema ocorre porque os destinos de arquivos locais do projeto são tratados como arquivos regulares confiáveis e são gravados sem verificações de symlink ou substituição atômica protegida.

Detalhes técnicos incluem:

Para que o arquivo pdm.toml seja sobrescrito, o arquivo de destino já deve conter dados TOML analisáveis; caso contrário, o processo falha durante a etapa de carregamento. Essa restrição não se aplica aos arquivos .pdm-python ou .python-version.

Recommendations Atualize o PDM para a versão 2.28.0-1.1 ou posterior. Como mitigação temporária, evite executar comandos PDM em repositórios de fontes não confiáveis. Restrinja o uso do comando pdm config -l em ambientes com privilégios elevados até que a atualização seja aplicada.