pip would incorrectly handle doubly-encoded package URLs from indexes allowing for files to be installed to arbitrary locations on disk even when installing wheels.
pip would incorrectly handle doubly-encoded package URLs from indexes allowing for files to be installed to arbitrary locations on disk even when installing wheels.
This vulnerability requires downloading or installing a package from a malicious package index to succeed, malicious packages alone are not able to exploit this vulnerability. Note that this vulnerability only materially impacts users running pip download with the --only-binary option as installing source distributions from an untrusted index is already an unsafe operation that executes code during install time.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | pip | < 26.2 | 26.2 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-13346
- https://github.com/pypa/pip/pull/14110
- https://github.com/pypa/pip/commit/10dfb6b9005484578b386f64b9f36982e3dc6679
- https://github.com/pypa/advisory-database/tree/main/vulns/pip/PYSEC-2026-3721.yaml
- https://github.com/pypa/pip
- https://mail.python.org/archives/list/security-announce@python.org/thread/L2BNQGGVQCEV7DROOORQ7WFKKFF2OOQX
- http://www.openwall.com/lists/oss-security/2026/07/29/7
- https://mail.python.org/archives/list/security-announce@python.org/thread/L2BNQGGVQCEV7DROOORQ7WFKKFF2OOQX/
- https://github.com/advisories/GHSA-qwm4-qh6w-59xr
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N- Słabość (CWE)
CWE-36- Platforma
- Python (PyPI)
- Paczka
pip- Ujawniono
- 29.07.2026
- Aktualizacja
- 11.10.2026 15:18
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-qwm4-qh6w-59xr - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-3721 - PyPA Advisory Database; CC BY 4.0
Historia podatności: pip
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 13
- Pierwsza → ostatnia
- 08.2013 07.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 4
- Średnia 8
- Niska 1
Ujawnienia w latach
- 2017: 0
- 2018: 0
- 2019: 1
- 2020: 1
- 2021: 1
- 2022: 0
- 2023: 1
- 2024: 0
- 2025: 1
- 2026: 5
wcześniej: 3
-
pip would incorrectly handle doubly-encoded package URLs from indexes allowing for files to be installed to arbitrary locations on disk even when installing wheels. ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.