4.1Orta

CVE-2026-8643pip can extract console_scripts and gui_scripts outside installation directory

Python Packaging Authority pip; Red Hat Red Hat Ansible Automation Platform 2.5 for RHEL 8; Red Hat Red Hat Ansible Automation Platform 2.5 for RHEL 9; Red Hat… Yayım: 2026-06-01 18:01 (5 ay önce)

Açıklama

pip would treat console_scripts and gui_scripts as paths instead of file names without sanitizing the resolved absolute path to the installation directory, leading to entry points being installed outside the installation directory.

Zayıflık türü (CWE): CWE-22

Veri: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Bilgiler kaynaktaki haliyle, İngilizce yayımlanır.

Etkilenen ürünler ve sürümler

Üretici	Ürün	Sürümler
ansible automation platform	2.5	—
ansible automation platform	2.6	—
discovery	2	—
migration toolkit applications	8.2	—
openshift ai	2.25	—
openshift ai	3.0	—
openshift ai	3.2	—
openshift ai	3.3	—
openshift ai	3.4	—
pypa	pip	< 26.1.2
Python Packaging Authority	pip	24.0 – < 26.1.2
Red Hat	Red Hat Ansible Automation Platform 2.5	all versions
Red Hat	Red Hat Ansible Automation Platform 2.5 for RHEL 8	all versions
Red Hat	Red Hat Ansible Automation Platform 2.5 for RHEL 9	all versions
Red Hat	Red Hat Ansible Automation Platform 2.6	all versions
Red Hat	Red Hat Ansible Automation Platform 2.6 for RHEL 9	all versions
Red Hat	Red Hat Discovery 2	all versions
Red Hat	Red Hat Enterprise Linux 10	all versions
Red Hat	Red Hat Enterprise Linux 9	all versions
Red Hat	Red Hat Hardened Images	all versions
Red Hat	Red Hat Migration Toolkit for Applications 8.2	all versions
Red Hat	Red Hat OpenShift AI 2.25	all versions
Red Hat	Red Hat OpenShift AI 3.0	all versions
Red Hat	Red Hat OpenShift AI 3.2	all versions
Red Hat	Red Hat OpenShift AI 3.3	all versions
Red Hat	Red Hat OpenShift AI 3.4	all versions
trusted artifact signer	1.4	—

Kaynaklar ve yamalar

CPE eşleşmeleri (NVD) (1)

cpe:2.3:a:pypa:pip:*:*:*:*:*:*:*:* < 26.1.2

CVSS puanı

4.1Orta

Kaynak: PSF · CVSS 4.0

Saldırı yolu: Yerel
Karmaşıklık: Düşük
Ön koşul: Var
Gereken yetki: Düşük
Kullanıcı etkileşimi: Aktif
Gizlilik: Yok
Bütünlük: Yüksek
Erişilebilirlik: Yok

CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Tüm puanlar (5)

cna	CVSS 4.0	4.1Orta
redhat-SADP	CVSS 3.1	8.0Yüksek
cna@python.org	CVSS 4.0	4.1Orta
nvd	CVSS 3.1	5.5Orta
0b0ca135-0b70-47e7-9f44-1890c2a1c46c	CVSS 3.1	8.0Yüksek

EPSS (30 günde istismar olasılığı)

0.32%

tüm CVE'lerin %25'inden yüksek

CISA değerlendirmesi (SSVC)

İstismar: none
Otomatikleştirilebilir: no
Teknik etki: partial

Zaman çizelgesi

Numara ayrıldı2026-05-14
Yayımlandı2026-06-01 18:01
IP-DB'ye ulaştı2026-10-24 23:40
Son güncelleme2026-09-16 16:18

Numarayı veren (CNA): PSF
NVD durumu: Modified

Kaynakta görüntüle: CVE.org · NVD

Bu ürünlerde yeni bir açık çıktığında haber alın

E-posta uyarılarını aç

Ücretsiz · üyelikle · istediğiniz an kapatılır