uv: Path Traversal über manipulierte Entry-Point-Namen
Zusammenfassung
uv vor 0.11.15, ein Paketmanager und Projektverwaltungswerkzeug für Python, beschränkt beim Installieren eines Wheels nicht, wo console_scripts- und gui_scripts-Entry-Points abgelegt werden. Ein manipuliertes Wheel kann dadurch eine ausführbare Datei ausserhalb des Scripts-Verzeichnisses der Umgebung platzieren, auch in einem Verzeichnis im PATH des Benutzers. Ein Angreifer muss einen Benutzer oder eine CI-Pipeline dazu bringen, das manipulierte Wheel zu installieren; danach kann die Datei eine bestehende Binärdatei überschatten oder überschreiben und zur Ausführung von Code führen. Das GHSA-Advisory stammt vom 18. Mai 2026; die CVE wurde am 21. Oktober 2026 veröffentlicht.
Betroffen
- uv-Versionen vor 0.11.15 (astral-sh/uv, Paketmanager für Python)
- Gepinnte oder transitive uv-Installationen unterhalb 0.11.15 sind ebenfalls betroffen
Behoben in
- uv 0.11.15 und neuer
Umgehung
- Keine. Der Hersteller gibt an, dass die einzige Massnahme das Upgrade auf uv 0.11.15 ist.
Ausnutzung
- Zum Zeitpunkt der geprüften Quellen ist keine Ausnutzung bekannt.
- In den geprüften Quellen nicht als aktiv ausgenutzt (KEV) gelistet.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Ein öffentlicher Proof of Concept wurde nicht gefunden, dies kann jedoch nicht ausgeschlossen werden.
Unsere Empfehlung
- uv auf allen Entwickler-Arbeitsstationen, CI-Runnern und Container-Images auf 0.11.15 oder neuer aktualisieren.
- Lockfiles, Requirements und Build-Images auf uv-Versionen unterhalb 0.11.15 prüfen, einschliesslich transitiver Dev-Abhängigkeiten.
- Python-Pakete nur aus vertrauenswürdigen Indizes installieren und hash-gesperrte Requirements verwenden.
- Auf Systemen, auf denen uv vor dem Upgrade lief, kürzlich installierte Wheels überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4gg8-gxpx-9rph github.com
- VulnCheck advisory: uv before 0.11.15 Arbitrary File Write via Entry Point Names www.vulncheck.com
- OSV: GHSA-4gg8-gxpx-9rph osv.dev
- GitLab Advisory Database: GHSA-4gg8-gxpx-9rph (uv) advisories.gitlab.com
- VulDB entry for CVE-2026-114109 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.