Sur Windows, une entrée contrôlée dans namespace_packages.txt d’une wheel pouvait conduire setuptools à créer un fichier __init__.py hors du répertoire d’installation prévu. L’avis indique que les versions de setuptools à partir de 38.2.2 et antérieures à 84.1.0 sont concernées; le correctif est disponible dans 84.1.0.
Source : GHSA-xmj3-9gf7-h52w — setuptools
Analyse technique
Une valeur de chemin absolu qualifiée par un lecteur Windows dans les métadonnées namespace_packages.txt peut échapper au répertoire destination_eggdir. Le fichier créé a un contenu fixe et le répertoire parent ciblé doit déjà exister.
Impact, versions et correctif
Détection / vérification
Vérifier la version de setuptools et si l’installation de wheels utilise le chemin legacy install_as_egg sur Windows.
Action recommandée
Mettre à niveau setuptools vers 84.1.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).