Vulnerabilidad en pdm de pdm-project (CVE-2026-47781)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-94 Control incorrecto de generación de código (Inyección de código)

Fecha de publicación:

04/08/2026

Última modificación:

24/10/2026

Descripción

PDM es un gestor de paquetes y dependencias de Python. En versiones hasta la 2.26.9 inclusive, PDM carga automáticamente plugins locales del proyecto desde un directorio .pdm-plugins durante la inicialización, permitiendo que un archivo controlado por un atacante en una copia de repositorio no confiable ejecute código Python arbitrario antes de que se analice cualquier comando. Esto sucede porque load_plugins() se ejecuta durante Core.init() y añade .pdm-plugins a través de site.addsitedir(), que procesa archivos .pth y ejecuta inmediatamente cualquier línea que comience con import, por lo que el código se ejecuta con los privilegios del usuario que invoca pdm e incluso un comando benigno como pdm --version lo activa (haciendo que el impacto sea más fuerte en CI, automatización y contextos privilegiados). El problema está solucionado en la versión 2.27.0.

Impacto

Vector 4.0

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.40 ALTA
Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Activo
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.40

Gravedad 4.0

ALTA

Vulnerabilidad en pdm de pdm-project (CVE-2026-47781)

Descripción

Impacto

Referencias a soluciones, herramientas e información