PT-2026-2252 · Unknown+1 · Virtualenv+1

Tsigouris007 · Publicado 2026-01-01 · Atualizado 2026-06-03 · CVE-2026-22702

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.5

Média

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas virtualenv versões anteriores a 20.36.1

Descrição virtualenv é uma ferramenta para criar ambientes virtuais Python isolados. Antes da versão 20.36.1, existem vulnerabilidades de Tempo de Verificação-Tempo de Uso (TOCTOU) no virtualenv que permitem que atacantes locais realizem ataques baseados em symlinks em operações de criação de diretórios. Um atacante com acesso local pode explorar uma condição de corrida entre verificações de existência de diretório e sua criação para redirecionar as operações de app data e arquivos de bloqueio do virtualenv para locais controlados pelo atacante. A vulnerabilidade afeta as operações de criação de diretório.

Recomendações Atualize o virtualenv para a versão 20.36.1 ou posterior.

Exploit

Correção

Link Following

Race Condition

Enumeração de Fraquezas

CWE-59

CWE-362

Identificadores relacionados

AZL-74210

AZL-74237

BIT-VIRTUALENV-2026-22702

CVE-2026-22702

GHSA-597G-3PHW-6986

OPENSUSE-SU-2026:10055-1

OPENSUSE-SU-2026:20086-1

SUSE-SU-2026:0233-1

SUSE-SU-2026:20129-1

Produtos afetados

Debian

Virtualenv

Referências · 31

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22702.json · Exploit
• https://github.com/pypa/virtualenv/pull/3013 · Correção
• https://github.com/pypa/virtualenv/security/advisories/GHSA-597g-3phw-6986 · Aviso do Fabricante
• https://github.com/pypa/virtualenv/commit/dec4cec5d16edaf83a00a658f32d1e032661cebc · Correção
• https://github.com/pypa/virtualenv · Nota
• https://osv.dev/vulnerability/CVE-2026-22702 · Aviso do Fabricante
• https://suse.com/support/update/announcement/2026/suse-su-202620129-1 · Nota
• https://cve.org/CVERecord?id=CVE-2026-22702 · Nota de Segurança
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2026-22702 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:10055-1 · Aviso do Fabricante
• https://t.me/msrcreports/3203 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2009891371029615055 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-597g-3phw-6986 · Aviso do Fabricante
• https://osv.dev/vulnerability/SUSE-SU-2026:20129-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-22702 · Aviso do Fabricante