frenzymadness/cve-2021-3572Repositorio de prueba mínimo para CVE-2021-3572, que demuestra una vulnerabilidad de confusión de dependencias pip y su corrección en versiones vulnerables y parcheadas.
Este repositorio está diseñado para probar CVE-2021-3572 en pypa/pip.
Para más información, consulte estos recursos:
Además, vea las etiquetas y los primeros dos commits en este repositorio.
La versión vulnerable de pip (<21.1) instala la versión 9999.0 pero la versión corregida instala la versión correcta 1.0:
$ pip install "pip<21.1"
Successfully installed pip-21.0.1
$ pip install git+https://github.com/frenzymadness/CVE-2021-3572.git@original_version
$ pip list
Package Version
------------- -------
cve-2021-3572 9999.0
pip 21.0.1
setuptools 56.2.0
wheel 0.36.2
$ pip install -U pip
Successfully installed pip-21.1.2
$ pip install git+https://github.com/frenzymadness/CVE-2021-3572.git@original_version
$ pip list
Package Version
------------- -------
cve-2021-3572 1.0
pip 21.1.2
setuptools 56.2.0
wheel 0.36.2