CVE-2025-47273
setuptools tiene una vulnerabilidad de recorrido de ruta en PackageIndex.download que lleva a la escritura arbitraria de archivos.
- Publicado
- 17 may 2025
- Actualizado
- 28 may 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 73,4 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
setuptools es un paquete que permite a los usuarios descargar, compilar, instalar, actualizar y desinstalar paquetes de Python. Una vulnerabilidad de path traversal en `PackageIndex` está presente en setuptools anteriores a la versión 78.1.1. Un atacante podría escribir archivos en ubicaciones arbitrarias del sistema de archivos con los permisos del proceso que ejecuta el código Python, lo que podría escalar a la ejecución remota de código según el contexto. La versión 78.1.1 corrige el problema.
Fuentes
3CVE-2025-47273 — PoC de path traversal en setuptools
Un exploit para versiones vulnerables de fontforge y setuptools más un ejemplo práctico.
CVE-2025-47273 es una vulnerabilidad de path traversal de alta gravedad en la librería setuptools, específicamente en la versión 78.1.0.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.