Poetry 代码注入漏洞
CNNVD-ID编号 |
CNNVD-202209-455 |
CVE编号 |
CVE-2022-36069 |
发布时间 |
2022-09-07 |
更新时间 |
2022-09-08 |
漏洞类型 |
代码注入 |
漏洞来源 |
N/A |
危险等级 |
N/A |
威胁类型 |
N/A |
厂商 |
N/A |
漏洞介绍
Poetry是Python 中用于依赖管理和打包的工具。它允许您声明项目所依赖的库,并将为您管理(安装/更新)它们。
Poetry 1.1.9之前版本和1.2.0b1之前版本存在代码注入漏洞,该漏洞源于在构建命令时,用户输入有可能以破折号开头,因此被视为可选参数而不是位置参数,这可能导致代码执行,如果被利用,攻击者可以窃取凭据或保留其访问权限,如果漏洞发生在服务器上,攻击者可以使用他们的访问权限来攻击其他内部系统。
漏洞补丁
目前厂商已发布升级了Poetry 代码注入漏洞的补丁,Poetry 代码注入漏洞的补丁获取链接:
https://github.com/python-poetry/poetry/security/advisories/GHSA-9xgj-fcgf-x6mw
参考网址
受影响实体
信息来源