PT-2025-25588 · Python+1 · Pip+2

Jaimergp · Publicado 2025-06-16 · Atualizado 2025-08-01 · CVE-2025-32800

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Conda-build anteriores a 25.3.0

Descrição O problema refere-se a uma vulnerabilidade de injeção de dependência. O Conda-build lista o conda-index como uma dependência Python em seu arquivo pyproject.toml. Como o conda-index não está publicado no PyPI, um atacante poderia reivindicar esse namespace, carregar código malicioso e explorar comandos pip install injetando a dependência maliciosa.

Recomendações Para versões anteriores a 25.3.0, atualize para a versão 25.3.0 para resolver o problema. Como solução temporária, considere usar a opção --no-deps para comandos pip install ao instalar o projeto a partir do repositório.

Exploit

Correção

Enumeração de Fraquezas

CWE-1357

Identificadores relacionados

CVE-2025-32800

GHSA-83GH-P93G-CWGX

Produtos afetados

Conda-Build

Conda-Index

Pip

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/32xxx/CVE-2025-32800.json · Exploit
• 🔥 https://drive.google.com/file/d/18qe97zxcpTn2l84187A9meGCi2Wg-n_Y/view · Exploit
• https://github.com/conda/conda-build/commit/f5a6aeef0d5d6940b8c2a88796910dc7476a62bb · Correção
• https://github.com/conda/conda-build/security/advisories/GHSA-83gh-p93g-cwgx · Aviso do Fabricante
• https://t.me/latest_high_impact_cve/2680 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-32800 · Nota de Segurança
• https://t.me/cvetracker/26348 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1934738319306281333 · Publicação no Twitter
• https://t.me/cveNotify/130630 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-32800 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1934716067684737462 · Publicação no Twitter