Aller au contenu
en Se connecter
6.3 Moyenne

CVE-2025-13327 Uv: uv: specially crafted zip archives lead to arbitrary code execution due to parsing differentials

Description

A flaw was found in uv. This vulnerability allows an attacker to execute malicious code during package resolution or installation via specially crafted ZIP (Zipped Information Package) archives that exploit parsing differentials, requiring user interaction to install an attacker-controlled package.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H

Exploitable avec un accès local à la machine, avec un compte administrateur et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque
Local
Complexité
Élevée
Privilèges requis
Élevés
Interaction
Requise
Portée
Inchangée
Confidentialité
Élevé
Intégrité
Élevé
Disponibilité
Élevé

Produits et versions touchés

Produit Versions touchées Corrigé en
uv 0.9 premières → < 0.9.6 0.9.6
Red Hat AI Inference Server Versions non publiées
Red Hat OpenShift AI (RHOAI) Versions non publiées
Red Hat OpenShift AI 3.0 1793328358 premières → < 1793328358 1793328358

Références

Chronologie

  1. Publiée
  2. Dernière modification

Autres CVE de uv

Les 6 CVE de uv →
CVE-2026-114110 Astral uv before 0.11.6 contains a path traversal vulnerability that allows attackers to delete arbitrary files by… 8.7 Élevée CVE-2026-114109 uv before 0.11.15 contains a path traversal vulnerability that allows malicious wheels to write files outside the… 8.7 Élevée CVE-2025-71437 Astral uv before 0.8.22 contains a path traversal vulnerability in source distribution (sdist) tar extraction that… 8.7 Élevée CVE-2026-104843 uv is a Python package and project manager written in Rust 5.9 Moyenne
Suivre cette CVE