frenzymadness/cve-2021-3572Repositório de teste mínimo para CVE-2021-3572, demonstrando uma vulnerabilidade de confusão de dependência pip e sua correção em versões vulneráveis e corrigidas.
Este repositório foi criado para testar o CVE-2021-3572 no pypa/pip.
Para mais informações, consulte estes recursos:
Veja também as tags e os dois primeiros commits neste repositório.
A versão vulnerável do pip (<21.1) instala a versão 9999.0, mas a versão corrigida instala a versão correta 1.0:
$ pip install "pip<21.1"
Successfully installed pip-21.0.1
$ pip install git+https://github.com/frenzymadness/CVE-2021-3572.git@original_version
$ pip list
Package Version
------------- -------
cve-2021-3572 9999.0
pip 21.0.1
setuptools 56.2.0
wheel 0.36.2
$ pip install -U pip
Successfully installed pip-21.1.2
$ pip install git+https://github.com/frenzymadness/CVE-2021-3572.git@original_version
$ pip list
Package Version
------------- -------
cve-2021-3572 1.0
pip 21.1.2
setuptools 56.2.0
wheel 0.36.2