4.1Mittel

CVE-2026-8643pip can extract console_scripts and gui_scripts outside installation directory

Python Packaging Authority pip; Red Hat Red Hat Ansible Automation Platform 2.5 for RHEL 8; Red Hat Red Hat Ansible Automation Platform 2.5 for RHEL 9; Red Hat… Veröffentlicht: 2026-06-01 18:01 (vor 5 Monaten)

Beschreibung

pip would treat console_scripts and gui_scripts as paths instead of file names without sanitizing the resolved absolute path to the installation directory, leading to entry points being installed outside the installation directory.

Schwachstellentyp (CWE): CWE-22

Daten: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Wiedergegeben wie in der Quelle, auf Englisch.

Betroffene Produkte und Versionen

Hersteller	Produkt	Versionen
ansible automation platform	2.5	—
ansible automation platform	2.6	—
discovery	2	—
migration toolkit applications	8.2	—
openshift ai	2.25	—
openshift ai	3.0	—
openshift ai	3.2	—
openshift ai	3.3	—
openshift ai	3.4	—
pypa	pip	< 26.1.2
Python Packaging Authority	pip	24.0 – < 26.1.2
Red Hat	Red Hat Ansible Automation Platform 2.5	all versions
Red Hat	Red Hat Ansible Automation Platform 2.5 for RHEL 8	all versions
Red Hat	Red Hat Ansible Automation Platform 2.5 for RHEL 9	all versions
Red Hat	Red Hat Ansible Automation Platform 2.6	all versions
Red Hat	Red Hat Ansible Automation Platform 2.6 for RHEL 9	all versions
Red Hat	Red Hat Discovery 2	all versions
Red Hat	Red Hat Enterprise Linux 10	all versions
Red Hat	Red Hat Enterprise Linux 9	all versions
Red Hat	Red Hat Hardened Images	all versions
Red Hat	Red Hat Migration Toolkit for Applications 8.2	all versions
Red Hat	Red Hat OpenShift AI 2.25	all versions
Red Hat	Red Hat OpenShift AI 3.0	all versions
Red Hat	Red Hat OpenShift AI 3.2	all versions
Red Hat	Red Hat OpenShift AI 3.3	all versions
Red Hat	Red Hat OpenShift AI 3.4	all versions
trusted artifact signer	1.4	—

Referenzen und Patches

CPE-Treffer (NVD) (1)

cpe:2.3:a:pypa:pip:*:*:*:*:*:*:*:* < 26.1.2

CVSS-Score

4.1Mittel

Quelle: PSF · CVSS 4.0

Angriffsvektor: Lokal
Komplexität: Niedrig
Voraussetzungen: Vorhanden
Rechte erforderlich: Niedrig
Benutzerinteraktion: Aktiv
Vertraulichkeit: Keine
Integrität: Hoch
Verfügbarkeit: Keine

CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Alle Scores (5)

cna	CVSS 4.0	4.1Mittel
redhat-SADP	CVSS 3.1	8.0Hoch
cna@python.org	CVSS 4.0	4.1Mittel
nvd	CVSS 3.1	5.5Mittel
0b0ca135-0b70-47e7-9f44-1890c2a1c46c	CVSS 3.1	8.0Hoch

EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)

0.32%

höher als 25 % aller CVEs

CISA-Bewertung (SSVC)

Ausnutzung: none
Automatisierbar: no
Technische Auswirkung: partial

Zeitverlauf

ID reserviert2026-05-14
Veröffentlicht2026-06-01 18:01
Bei IP-DB eingegangen2026-10-24 23:40
Zuletzt aktualisiert2026-09-16 16:18

Vergeben von (CNA): PSF
NVD-Status: Modified

In der Quelle ansehen: CVE.org · NVD

Benachrichtigung bei neuen Schwachstellen in diesen Produkten

E-Mail-Warnungen aktivieren

Kostenlos · mit Konto · jederzeit abbestellbar