CVE-2026-47781

Nome do Software Vulnerável e Versões Afetadas PDM versões anteriores a 2.28.0

Descrição O PDM carrega automaticamente caminhos de plugins locais do projeto a partir de .pdm-plugins durante a inicialização do Core. Esse processo utiliza site.addsitedir(), que no CPython processa arquivos .pth no diretório adicionado. Se um arquivo .pth contiver linhas começando com import , esse código é executado imediatamente. Isso permite que um invasor execute código arbitrário com os privilégios do usuário que executa o pdm quando o usuário executa qualquer comando, como pdm --version, a partir de um checkout de repositório não confiável. O problema é particularmente crítico em ambientes de CI, shells privilegiados e contextos de automação, podendo levar ao roubo de credenciais, persistência ou escalada de privilégios se executado via sudo ou contas de proprietário root.

Recomendações Atualize para a versão 2.28.0 ou posterior. Como solução temporária, evite executar comandos pdm dentro de checkouts de repositórios não confiáveis. Restrinja o uso de .pdm-plugins locais do projeto, garantindo que eles não sejam carregados automaticamente por padrão.