PT-2026-3917 · Pypi+4 · Wheel+4
Kilkat
·
Publicado
2026-01-22
·
Atualizado
2026-05-21
·
CVE-2026-24049
CVSS v3.1
7.1
Alta
| Vetor | AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do wheel de 0.40.0 a 0.46.1
Descrição
O pacote 'wheel', uma ferramenta para manipular arquivos wheel do Python, contém uma falha na função
unpack. Essa falha permite a modificação de permissões de arquivo devido ao tratamento inadequado das permissões após a extração. A lógica confia incorretamente no nome do arquivo do cabeçalho do arquivo ao definir as permissões, mesmo após o processo de extração ter sanitizado o caminho. Um atacante pode criar um arquivo wheel malicioso que, ao ser descompactado, altera as permissões de arquivos críticos do sistema, possivelmente permitindo Elevação de Privilégios ou execução de código arbitrário. A vulnerabilidade é acionada quando a função unpack aplica permissões com base no nome do arquivo não sanitizado do cabeçalho do arquivo. Isso pode resultar em arquivos críticos do sistema se tornarem graváveis por todos.Recomendações
Atualize para uma versão do wheel superior a 0.46.1.
Exploit
Correção
LPE
Path traversal
Incorrect Permission
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Linuxmint
Red Os
Rocky Linux
Ubuntu
Wheel