pip has an interpretation conflict due to handling both concatenated tar and ZIP files as ZIP files
pip handles concatenated tar and ZIP files as ZIP files regardless of filename or whether a file is both a tar and ZIP file. This behavior could result in confusing installation behavior, such as installing "incorrect" files according to the filename of the archive. New behavior only proceeds with installation if the file identifies uniquely as a ZIP or tar archive, not as both.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | pip | < 26.1 | 26.1 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-3219
- https://github.com/pypa/pip/issues/13867
- https://github.com/pypa/pip/pull/13870
- https://github.com/pypa/pip
- https://mail.python.org/archives/list/security-announce@python.org/thread/QAJ5JIVWWCAJ4EZL2FP5MOOW35JS7LRJ
- http://www.openwall.com/lists/oss-security/2026/04/20/8
- https://pypi.org/project/pip
- https://github.com/advisories/GHSA-58qw-9mgm-455v
- Wektor CVSS
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-434- Platforma
- Python (PyPI)
- Paczka
pip- Ujawniono
- 20.04.2026
- Aktualizacja
- 11.10.2026 15:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-2875 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-58qw-9mgm-455v - CC BY 4.0
Historia podatności: pip
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 13
- Pierwsza → ostatnia
- 08.2013 07.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 4
- Średnia 8
- Niska 1
Ujawnienia w latach
- 2017: 0
- 2018: 0
- 2019: 1
- 2020: 1
- 2021: 1
- 2022: 0
- 2023: 1
- 2024: 0
- 2025: 1
- 2026: 5
wcześniej: 3
-
pip has an interpretation conflict due to handling both concatenated tar and ZIP files as ZIP files ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.