CVE-2026-47764

Nome do Software Vulnerável e Versões Afetadas pdm versões anteriores a 2.28.0

Description A função write to fs() na classe InstallDestination não valida adequadamente os caminhos de arquivos ao adicionar suporte a symlinks ou hardlinks. Ela substitui o método seguro path with destdir(), que utiliza Path.resolve() e is relative to() para validação, por os.path.join(). Essa ausência de validação permite que um pacote wheel malicioso contendo entradas de traversal de caminho escreva arquivos arbitrários no sistema.

Recommendations Atualize para a versão 2.28.0 ou posterior.