CVE-2018-20225

सारांश

pip (सभी संस्करणों) में एक समस्या पाई गई क्योंकि यह उच्चतम संस्करण संख्या वाले संस्करण को स्थापित करता है, भले ही उपयोगकर्ता ने निजी इंडेक्स से एक निजी पैकेज प्राप्त करने का इरादा किया हो। यह केवल --extra-index-url विकल्प के उपयोग को प्रभावित करता है, और शोषण के लिए आवश्यक है कि पैकेज सार्वजनिक इंडेक्स में पहले से मौजूद न हो (और इस प्रकार हमलावर पैकेज को मनमाने संस्करण संख्या के साथ वहाँ रख सकता है)। नोट: यह सूचित किया गया है कि यह अभीष्ट कार्यक्षमता है और --extra-index-url का सुरक्षित रूप से उपयोग करने की जिम्मेदारी उपयोगकर्ता की है।

• cve-2018-20225PoC

  CVE-2018-20225 का प्रदर्शन और अन्वेषण, कमजोरी को समझने और परीक्षण करने के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट प्रदान करता है।