注目★★★★★GitHub Advisory
PDM、ホイールインストール時のパストラバーサル脆弱性 CVE-2026-47764
30秒で把握
- 1PDM に CVE-2026-47764・悪意ある wheel で任意ファイル書き込みが可能
- 2原因は write_to_fs() がパス検証を省略した os.path.join() を使用
- 3Poetry CVE-2026-34591 と同クラス・修正 PR #3787 は公開済み未リリース
要約
PDM の `InstallDestination.write_to_fs()` がベースクラスの安全なパス検証メソッドを `os.path.join()` で置き換えており、パス検証が行われない。この実装不備により、細工された wheel ファイルに traversal エントリを含めることで任意ファイルの書き込みが可能になる。同種の脆弱性は Poetry の CVE-2026-34591 と同クラスに分類される。
あなたへの影響
PDM を使って wheel ファイルをインストールするチームは、信頼できないソースや未検証の wheel を扱う環境でのリスクを認識し、修正がリリースに取り込まれ次第アップデートを適用すること。
推奨：現時点では即時対処が必要な重大度ではないが、サードパーティ製 wheel を扱うパイプラインでは入力検証の確認を推奨する。