Activating a venv can execute shell commands from a directory name
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 35/100
Línea de trabajo
Read the linked fix d48cc82ed25e26b02eb97c6263d95dcaa1e9111b and the virtualenv advisory GHSA-8rjx-v5ww-45pp to understand the related behavior. Reproduce the issue on Linux by creating and activating a virtual environment inside a directory with a crafted name. Done means activation no longer executes a command from that directory name; the issue does not identify a file or test to start from.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Bug report
An attacker can name a directory in an archive so that activating a freshly created virtual environment inside it runs a command as the developer or build account. A similar issue was fixed a few years ago (https://github.com/python/cpython/commit/d48cc82ed25e26b02eb97c6263d95dcaa1e9111b) and virtualenv just had the equivalent bug fixed (https://github.com/pypa/virtualenv/security/advisories/GHSA-8rjx-v5ww-45pp).
CPython versions tested on:
CPython main branch
Operating systems tested on:
Linux
Linked PRs
- gh-160283
- Lenguaje dominante
- Python
- Estrellas
- 77.7k
- Forks
- 38.3k
- Merge medio
- 14 h 29 min
- PR fusionados (30 d)
- 699
Preparar el entorno
Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de python/cpython
-
topic-socket type-bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
python/cpython#160561 · 7 comentarios ·
Los mantenedores suelen responder en 1 día
-
tests topic-profiling type-bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
python/cpython#160334 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
extension-modules type-bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
Los mantenedores suelen responder en 1 día
-
Remove unused FVS_* macrosAbiertointerpreter-core type-feature
Dificultad 1/5 Menos de una hora Aptitud para principiantes 78/100
python/cpython#160109 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
extension-modules type-bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
python/cpython#160001 · 3 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de python/cpython
Issues similares
-
link-rot
Dificultad 1/5 Menos de una hora Aptitud para principiantes 67/100
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
developmentseed/titiler-cmr#265 ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
Los mantenedores suelen responder en 1 día
-
Insecure Brotli version <1.2.1Posiblemente ocupada @jamescw19 la tomó hoy. Abierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 85/100
stac-utils/stac-fastapi-pgstac#438 · 1 reacción ·
-
bug triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
Los mantenedores suelen responder en 1 día