frenzymadness/cve-2021-3572Dépôt de test minimal pour CVE-2021-3572, démontrant une vulnérabilité de confusion de dépendances pip et son correctif dans les versions vulnérables et corrigées.
Ce dépôt est conçu pour tester la CVE-2021-3572 dans pypa/pip.
Pour plus d'informations, consultez ces ressources :
Consultez également les tags et les deux premiers commits de ce dépôt.
La version vulnérable de pip (<21.1) installe la version 9999.0, tandis que la version corrigée installe la version correcte 1.0 :
$ pip install "pip<21.1"
Successfully installed pip-21.0.1
$ pip install git+https://github.com/frenzymadness/CVE-2021-3572.git@original_version
$ pip list
Package Version
------------- -------
cve-2021-3572 9999.0
pip 21.0.1
setuptools 56.2.0
wheel 0.36.2
$ pip install -U pip
Successfully installed pip-21.1.2
$ pip install git+https://github.com/frenzymadness/CVE-2021-3572.git@original_version
$ pip list
Package Version
------------- -------
cve-2021-3572 1.0
pip 21.1.2
setuptools 56.2.0
wheel 0.36.2