CVE-2024-9287
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2024
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Virtual environment (venv) activation scripts don't quote paths
A vulnerability has been found in the CPython `venv` module and CLI where path names provided when creating a virtual environment were not quoted properly, allowing the creator to inject commands into virtual environment "activation" scripts (ie "source venv/bin/activate"). This means that attacker-controlled virtual environments are able to run commands when the virtual environment is activated. Virtual environments which are not created by an attacker or which aren't activated before being used (ie "./venv/bin/python") are not affected.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
CPython
- Fornecedor
- Python Software Foundation
- Produto
- CPython
- Plataformas
- Desconhecido
- Status padrão
unaffected
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 0 | affected | python | 3.9.21 | Indisponível | Nenhuma listada |
| 3.10.0 | affected | python | 3.10.16 | Indisponível | Nenhuma listada |
| 3.11.0 | affected | python | 3.11.11 | Indisponível | Nenhuma listada |
| 3.12.0 | affected | python | 3.12.8 | Indisponível | Nenhuma listada |
| 3.13.0 | affected | python | 3.13.1 | Indisponível | Nenhuma listada |
| 3.14.0a1 | affected | python | 3.14.0a2 | Indisponível | Nenhuma listada |