Mittel
multicast in source builds from vulnerable setuptools dependency
Impact
- Some source-builds may be impacted by a CWE-1395 (eg. vulnerable
setuptoolsdependency).- Multicast prior to v2.0.9a3 on systems with minimal dependancies installed may use
setuptools <78.1.1and thus rely on a compromised dependency. In some cases there is a chance that source-builds would fail due to an exploit of the closely related CVE-2025-47273, or become arbitrarily modified.
- Multicast prior to v2.0.9a3 on systems with minimal dependancies installed may use
Patches
- Pre-release version v2.0.9a0 and later resolve the issue by bumping requirements to
setuptools>=80.4- Pre-release version v2.0.9a3 and later are recommended for improved stability over v2.0.9a0
Workarounds
- Further hardening in v2.0.9a4+ of the build process in CI builds allowing source builds to be verified via GH attestations.
References
- GHSA-5rjg-fvgr-3xxf
- pypa/setuptools#4946
Fixes
- https://github.com/reactive-firewall/multicast/blob/c5c7c7de272421d944beca8452871bca6bfd151f/tests/requirements.txt#L32
- https://github.com/reactive-firewall/multicast/blob/c5c7c7de272421d944beca8452871bca6bfd151f/docs/requirements.txt#L27
- https://github.com/reactive-firewall/multicast/blob/c5c7c7de272421d944beca8452871bca6bfd151f/requirements.txt#L26
- https://github.com/reactive-firewall/multicast/blob/c5c7c7de272421d944beca8452871bca6bfd151f/pyproject.toml#L2
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | multicast | < 2.0.9a0 | 2.0.9a0 |
Verweise
- https://github.com/pypa/setuptools/security/advisories/GHSA-5rjg-fvgr-3xxf
- https://github.com/reactive-firewall/multicast/security/advisories/GHSA-94v7-wxj6-r2q5
- https://github.com/pypa/setuptools/issues/4946
- https://github.com/reactive-firewall/multicast/commit/c5c7c7de272421d944beca8452871bca6bfd151f
- https://github.com/reactive-firewall/multicast
- https://github.com/reactive-firewall/multicast/blob/c5c7c7de272421d944beca8452871bca6bfd151f/docs/requirements.txt#L27
- https://github.com/reactive-firewall/multicast/blob/c5c7c7de272421d944beca8452871bca6bfd151f/pyproject.toml#L2
- https://github.com/reactive-firewall/multicast/blob/c5c7c7de272421d944beca8452871bca6bfd151f/requirements.txt#L26
- https://github.com/reactive-firewall/multicast/blob/c5c7c7de272421d944beca8452871bca6bfd151f/tests/requirements.txt#L32
CVSS-Wert
-
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-1395- Plattform
- Python (PyPI)
- Paket
multicast- Veröffentlicht
- 28.05.2025
- Aktualisiert
- 11.10.2026 12:19
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-94v7-wxj6-r2q5 - CC BY 4.0
Schwachstellenhistorie: multicast
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.