4.1Media

CVE-2026-8643pip can extract console_scripts and gui_scripts outside installation directory

Python Packaging Authority pip; Red Hat Red Hat Ansible Automation Platform 2.5 for RHEL 8; Red Hat Red Hat Ansible Automation Platform 2.5 for RHEL 9; Red Hat… Publicada: 2026-06-01 18:01 (hace 5 meses)

Descripción

pip would treat console_scripts and gui_scripts as paths instead of file names without sanitizing the resolved absolute path to the installation directory, leading to entry points being installed outside the installation directory.

Debilidad (CWE): CWE-22

Datos: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Se publican tal como los indican las fuentes, en inglés.

Productos y versiones afectados

Fabricante	Producto	Versiones
ansible automation platform	2.5	—
ansible automation platform	2.6	—
discovery	2	—
migration toolkit applications	8.2	—
openshift ai	2.25	—
openshift ai	3.0	—
openshift ai	3.2	—
openshift ai	3.3	—
openshift ai	3.4	—
pypa	pip	< 26.1.2
Python Packaging Authority	pip	24.0 – < 26.1.2
Red Hat	Red Hat Ansible Automation Platform 2.5	all versions
Red Hat	Red Hat Ansible Automation Platform 2.5 for RHEL 8	all versions
Red Hat	Red Hat Ansible Automation Platform 2.5 for RHEL 9	all versions
Red Hat	Red Hat Ansible Automation Platform 2.6	all versions
Red Hat	Red Hat Ansible Automation Platform 2.6 for RHEL 9	all versions
Red Hat	Red Hat Discovery 2	all versions
Red Hat	Red Hat Enterprise Linux 10	all versions
Red Hat	Red Hat Enterprise Linux 9	all versions
Red Hat	Red Hat Hardened Images	all versions
Red Hat	Red Hat Migration Toolkit for Applications 8.2	all versions
Red Hat	Red Hat OpenShift AI 2.25	all versions
Red Hat	Red Hat OpenShift AI 3.0	all versions
Red Hat	Red Hat OpenShift AI 3.2	all versions
Red Hat	Red Hat OpenShift AI 3.3	all versions
Red Hat	Red Hat OpenShift AI 3.4	all versions
trusted artifact signer	1.4	—

Referencias y parches

Coincidencias CPE (NVD) (1)

cpe:2.3:a:pypa:pip:*:*:*:*:*:*:*:* < 26.1.2

Puntuación CVSS

4.1Media

Fuente: PSF · CVSS 4.0

Vector de ataque: Local
Complejidad: Baja
Requisitos: Presentes
Privilegios: Bajos
Interacción del usuario: Activa
Confidencialidad: Ninguno
Integridad: Alto
Disponibilidad: Ninguno

CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Todas las puntuaciones (5)

cna	CVSS 4.0	4.1Media
redhat-SADP	CVSS 3.1	8.0Alta
cna@python.org	CVSS 4.0	4.1Media
nvd	CVSS 3.1	5.5Media
0b0ca135-0b70-47e7-9f44-1890c2a1c46c	CVSS 3.1	8.0Alta

EPSS (probabilidad de explotación en 30 días)

0.32%

superior al 25 % de todas las CVE

Evaluación de CISA (SSVC)

Explotación: none
Automatizable: no
Impacto técnico: partial

Cronología

ID reservado2026-05-14
Publicada2026-06-01 18:01
Llegó a IP-DB2026-10-24 23:40
Última actualización2026-09-16 16:18

Asignada por (CNA): PSF
Estado en NVD: Modified

Ver en la fuente: CVE.org · NVD

Reciba un aviso cuando estos productos tengan una vulnerabilidad nueva

Activar alertas por correo

Gratis · con cuenta · se desactiva cuando quiera