PT-2026-5679 · Pypi+1 · Pip+1

Notatallshaw · Publicado 2026-01-01 · Atualizado 2026-06-12 · CVE-2026-1703

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.0

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:P/A:N

Nome do Software Vulnerável e Versões Afetadas pip (versões afetadas não especificadas)

Descrição Um arquivo wheel manipulado durante a instalação e extração pelo pip pode permitir que arquivos sejam extraídos fora do diretório de instalação pretendido. Essa travessia de caminho é limitada a prefixos do diretório de instalação, restringindo a capacidade de sobrescrever arquivos executáveis em cenários comuns.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

DoS

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

AZL-76496

AZL-76499

AZL-76593

AZL-76599

AZL-77910

BDU:2026-01708

BIT-PIP-2026-1703

CVE-2026-1703

ECHO-7DB2-03AA-5591

GHSA-6VGW-5PG2-W6JP

OESA-2026-1443

OESA-2026-1444

OESA-2026-1446

OESA-2026-1447

OESA-2026-1448

OPENSUSE-SU-2026:10210-1

OPENSUSE-SU-2026:20202-1

OPENSUSE-SU-2026:20880-1

RHSA-2026:7610

SUSE-SU-2026:0420-1

SUSE-SU-2026:0805-1

SUSE-SU-2026:20423-1

SUSE-SU-2026:22018-1

SUSE-SU-2026:2387-1

Produtos afetados

Red Os

Pip

Referências · 65

• https://github.com/pypa/pip · Nota
• https://github.com/pypa/pip/pull/13777 · Correção
• https://github.com/pypa/pip/commit/8e227a9be4faa9594e05d02ca05a413a2a4e7735 · Correção
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-1703 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-77910 · Aviso do Fabricante
• https://twitter.com/Cezar_H_Linux/status/2023874315117375632 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-1703 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-1703 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti-red-os-8-0/uyazvimost-python-pip-cve-2026-1703-8.0 · Nota
• https://suse.com/security/cve/CVE-2026-3219 · Nota
• https://suse.com/support/update/announcement/2026/suse-su-20260805-1 · Nota
• https://mail.python.org/archives/list/[e-mail]/thread/WIEA34D4TABF2UNQJAOMXKCICSPBE2DJ · Aviso do Fabricante
• https://bugzilla.suse.com/1262654 · Nota
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-1447 · Nota
• https://osv.dev/vulnerability/AZL-76599 · Aviso do Fabricante