PT-2026-45480 · Pypi+2 · Pip+2

Damian Shaw + 4 · CVE-2026-8643 · Publicado 2026-05-28 · Atualizado 2026-07-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas pip (versões afetadas não especificadas)

Descrição o pip não sanitiza o caminho absoluto resolvido para o diretório de instalação ao tratar console scripts e gui scripts como caminhos em vez de nomes de arquivos. Isso permite que os pontos de entrada sejam instalados fora do diretório de instalação pretendido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

DoS

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

ALSA-2026:36193

ALSA-2026:36315

BDU:2026-10841

CLEANSTART-2026-KY55512

CLEANSTART-2026-NR60332

CLEANSTART-2026-SA70432

CLEANSTART-2026-UC45646

CLEANSTART-2026-YC81398

CVE-2026-8643

ECHO-E120-768D-97D2

GHSA-WF93-45JW-7689

OESA-2026-2544

OESA-2026-2629

OESA-2026-2630

OESA-2026-2631

OPENSUSE-SU-2026:10940-1

OPENSUSE-SU-2026:20993-1

PYSEC-2026-196

RHSA-2026:34891

RHSA-2026:36193

RHSA-2026:36315

RHSA-2026:42078

RHSA-2026:42079

SUSE-SU-2026:22300-1

SUSE-SU-2026:2634-1

Produtos afetados

Red Os

Rocky Linux

Pip

Referências · 136

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/8xxx/CVE-2026-8643.json · Exploit
• https://github.com/pypa/pip/pull/14000 · Correção
• https://github.com/pypa/pip · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pip/PYSEC-2026-196.yaml · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-KY55512.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-UC45646.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-SA70432.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-NR60332.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-YC81398.json · Nota
• https://access.redhat.com/errata/RHSA-2026:34739 · Aviso do Fabricante
• https://bugzilla.redhat.com/2460927 · Nota
• https://twitter.com/oss_security/status/2061650292236550445 · Publicação no Twitter
• https://access.redhat.com/errata/RHSA-2026:34749 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2026:42079 · Aviso do Fabricante
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-8643.json · Nota