Vulnerabilidad en Conda-build (CVE-2025-32800)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
16/06/2025
Última modificación:
17/06/2025
Descripción
Conda-build contiene comandos y herramientas para compilar paquetes de Conda. Antes de la versión 25.3.0, el archivo pyproject.toml incluía conda-index como una dependencia de Python. Este paquete no está publicado en PyPI. Un atacante podría reclamar este espacio de nombres y cargar código arbitrario (malicioso) en el paquete, y luego explotar los comandos pip install inyectando la dependencia maliciosa en la solución. Este problema se ha corregido en la versión 25.3.0. Una solución alternativa consiste en usar --no-deps para instalar el proyecto con pip desde el repositorio.