JVNDB-2026-029511

Python Packaging Authorityのpipにおける絶対パストラバーサルに関する脆弱性

pip は、インデックスから二重にエンコードされたパッケージURLを誤って処理してしまい、ホイールをインストールする際であっても、ファイルが任意のディスク上の場所にインストールされる可能性があります。この脆弱性を悪用するには、悪意のあるパッケージインデックスからパッケージをダウンロードまたはインストールする必要があり、悪意のあるパッケージ単体ではこの脆弱性を悪用できません。なお、この脆弱性は、`pip download` コマンドを `--only-binary` オプション付きで実行するユーザーに主に影響を与えます。信頼できないインデックスからソースディストリビューションをインストールすることは、すでにコードがインストール時に実行されるため、安全でない操作となります。

Python Packaging Authority

• pip 26.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Openwall

• Openwall mailing list archives : oss-security - Fwd: [CVE-2026-13346] pip absolute path traversal during download from malicious package indexes

Python Software Foundation

• Mailing Lists : Mailman 3 [CVE-2026-13346] pip absolute path traversal during download from malicious package indexes - Security-announce - python.org

1. 絶対パストラバーサル(CWE-36) [その他]

1. CVE-2026-13346

1. National Vulnerability Database (NVD) : CVE-2026-13346
2. 関連文書 : Fix Link.filename decoding URL path twice by notatallshaw  Pull Request #14110  pypa/pip  GitHub

• [2026年08月21日]
    掲載