o pip manipularia incorretamente URLs de pacotes codificados em duplas de índices, permitindo que os arquivos sejam instalados em locais arbitrários no disco mesmo quando se instalam rodas. Esta vulnerabilidade requer o download ou a instalação de um pacote a partir de um índice de pacote malicioso para ter sucesso, pacotes maliciosos por si só não são capazes de explorar esta vulnerabilidade. Note que esta vulnerabilidade só impacta materialmente os usuários executando ` pip download` com a opção `-- only- binaire` como instalar distribuições de fonte a partir de um índice não confiável já é uma operação insegura que executa código durante o tempo de instalação. Registro de aconselhamento: GHSA-qwm 4 - qh 6 w- 59 xr. Identificadores relacionados: CVE- 2026 - 13346.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 29 T 21: 30: 59.000 Z e lista a sua última modificação como 2026 - 08 - 20 T 15: 33: 25.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N; CVSS_V 4: CVSS: 4.0 /AV:N/AC:H/AT:P/PR:H/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 36. O registro contém 4 suporte de referências nestes tipos: AVISO, WEB.