Antilles · Antilles · CVE-2021-3840
**Nome do software vulnerável e versões afetadas**
Versões do Antilles anteriores à 1.0.1
**Descrição**
Um problema de confusão de dependências permite a execução remota de código durante a instalação, devido a um pacote listado em `requirements.txt` não existir no índice público de pacotes (PyPi). Isso é classificado como um Elemento de Caminho de Pesquisa Não Controlado, em que uma dependência de pacote privado pode ser substituída por um pacote não autorizado com o mesmo nome publicado em um repositório público conhecido, como o PyPi. A configuração foi atualizada para instalar apenas componentes criados pelo Antilles, removendo todos os outros índices de pacotes públicos, e a dependência `antilles-tools` foi publicada no PyPi.
**Recomendações**
Atualize para a versão 1.0.1 ou posterior como medida de precaução e remova as versões anteriores do Antilles.