CVE-2026-53940

Nome do Software Vulnerável e Versões Afetadas Conda versões anteriores a 26.5.2

Descrição A função parse entry point def em conda/common/path/python.py aceita comandos de ponto de entrada não validados dos metadados info/link.json de pacotes noarch:python. O CreatePythonEntryPointAction em conda/core/path actions.py interpola esse comando no target short path, e o PrefixPathAction.target full path o une ao prefixo de instalação sem verificar se o resultado permanece dentro do diretório bin ou Scripts pretendido. Subsequentemente, o create python entry point em conda/gateways/disk/create.py grava um wrapper executável nesse caminho. Um pacote malicioso pode utilizar separadores de caminho, segmentos de travessia ou caminhos de comando absolutos para gravar arquivos fora do prefixo ou sobrescrever pontos de entrada existentes durante transações de instalação e ambiente. Isso pode levar à execução de código Python controlado por um invasor com os privilégios do usuário que realiza a instalação.

Recomendações Atualizar para a versão 26.5.2.