Vulnerabilidad en pdm de pdm-project (CVE-2026-47764)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-22
Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
04/08/2026
Última modificación:
23/10/2026
Descripción
pdm es un gestor de paquetes y dependencias de Python que soporta los últimos estándares PEP. Las versiones anteriores a la 2.27.0 son vulnerables a un salto de ruta a través de write_to_fs. InstallDestination.write_to_fs() en src/pdm/installers/installers.py anula la clase base para añadir soporte para enlaces simbólicos/enlaces duros, pero reemplaza la función segura _path_with_destdir() (que valida a través de Path.resolve() + is_relative_to()) con un os.path.join() simple que no realiza ninguna validación de ruta. Un wheel malicioso con entradas de salto de ruta puede escribir archivos arbitrarios. Este problema ha sido solucionado en la versión 2.27.0.
Impacto
Puntuación base 4.0
8.40
Gravedad 4.0
ALTA