PT-2026-45480 · Pypi · Pip

Damian Shaw + 4 · Publicado 2026-05-28 · Atualizado 2026-06-05 · CVE-2026-8643

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas pip (versões afetadas não especificadas)

Descrição o pip não sanitiza o caminho absoluto resolvido para o diretório de instalação ao tratar console scripts e gui scripts como caminhos em vez de nomes de arquivos. Isso permite que os pontos de entrada sejam instalados fora do diretório de instalação pretendido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-8643

ECHO-E120-768D-97D2

OESA-2026-2544

OPENSUSE-SU-2026:10940-1

PYSEC-2026-196

Produtos afetados

Pip

Referências · 21

• https://github.com/pypa/pip/pull/14000 · Correção
• https://t.me/cveNotify/166033 · Publicação no Telegram
• https://osv.dev/vulnerability/openSUSE-SU-2026:10940-1 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-8643 · Nota de Segurança
• https://bugzilla.redhat.com/show_bug.cgi?id=2460927 · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-8643 · Aviso do Fabricante
• https://osv.dev/vulnerability/BELL-CVE-2026-8643 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-196 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-8643 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-8643 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/06/01/5 · Nota
• https://docs.bell-sw.com/security/cves/CVE-2026-8643 · Nota
• https://osv.dev/vulnerability/OESA-2026-2544 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-8643 · Nota de Segurança
• https://t.me/CVEtracker/55517 · Publicação no Telegram