Zaloguj się
Deutsch English Español Polski
Wysoka

Command injection via --prompt in activate.bat (batch activator)

  • Ujawniono: 18.09.2026
  • Aktualizacja: 11.10.2026 15:18

BatchActivator.quote() returned its input unchanged, the only activator with no escaping at all. --prompt, the VIRTUALENV_PROMPT environment variable, and the config file all set the prompt, and activate.bat writes it straight into @set "VAR=value". A prompt containing a double quote closes that string early, and whatever follows runs as live cmd.exe syntax. For example, a venv created with --prompt 'x" & calc & "' runs calc the moment someone runs activate.bat.

Anyone who templates a prompt from untrusted input (a CI job using a branch name, a wrapper script deriving an environment name from user input) hands an attacker code execution in the shell of anyone who activates the resulting venv on Windows.

Fixed in 21.7.12 by escaping the characters cmd.exe treats as live syntax inside this construct.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) virtualenv < 21.7.12 21.7.12

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-78
Platforma
Python (PyPI)
Paczka
virtualenv
Ujawniono
18.09.2026
Aktualizacja
11.10.2026 15:18

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-x78j-v8h9-3j2q - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-4014 - PyPA Advisory Database; CC BY 4.0

Historia podatności: virtualenv

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
7
Pierwsza → ostatnia
12.2011 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 4
  • Średnia 3

Ujawnienia w latach

wcześniej: 1

  1. virtualenv bash and fish activation scripts execute commands embedded in paths
    Wysoka · 7.8 CVE-2026-102925 < 21.7.13 21.7.13
  2. Downloaded seed wheels (pip/setuptools) are not integrity-checked before use
    Wysoka CVE-2026-102930 < 21.7.12 21.7.12
  3. Command injection via --prompt in activate.bat (batch activator) ten wpis
    Wysoka CVE-2026-102937 < 21.7.12 21.7.12
  4. virtualenv writes prompt values into pyvenv.cfg without sanitizing line boundaries, allowing configuration injection
    Średnia CVE-2026-102938 < 21.7.11 21.7.11
  5. virtualenv Has TOCTOU Vulnerabilities in Directory Creation
    Średnia · 4.5 CVE-2026-22702 < 20.36.1 20.36.1
  6. virtualenv allows command injection through activation scripts for a virtual environment
    Wysoka · 8.4 CVE-2024-53899 < 20.26.6 20.26.6
  7. virtualenv.py in virtualenv before 1.5 allows local users to overwrite arbitrary files via a symlink attack on a certain file in /tmp/.
    Średnia · 6.2 CVE-2011-4617 < 1.5 1.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.