CVE.org (henüz NVD analizi yok)· CNA GitHub_M

CVE-2026-115586: virtualenv: Bash activator leaves the --prompt value unescaped in PS1 when promptvars is off, so prompt expansion later executes it (regression in 21.14.9)

Noroxi değerlendirmesi

Öncelik: İzleyin (aksiyon skoru 28/100)

İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
Önümüzdeki 30 günde sömürülme olasılığı %0,19 (FIRST EPSS).
Sisteme yerel erişimi olan biri tetikleyebilir. Hesap ya da parola gerekmez. Zamanlama ya da yapılandırma gibi özel koşullar gerekir.
Düzeltilmiş sürüm: pypa virtualenv 21.14.13.

Şimdilik düşük öncelik. pypa virtualenv 21.14.13 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

virtualenv is a tool for creating isolated virtual python environments. From 21.14.9 until 21.14.13, the bash bin/activate script can copy an attacker-controlled --prompt value into PS1 without escaping dollar signs or backticks when both promptvars and POSIX mode are disabled during activation. Re-enabling promptvars, running set -o posix, or starting an interactive child bash that inherits the exported PS1 can then expand command substitution in the stored VIRTUAL_ENV_PROMPT value and execute commands as the user who activates the environment. This issue is fixed in version 21.14.13.

YüksekCVSS 7.1 · v4.0—İstismar yok Düzeltme var

Yayın: 23 Eki 2026
Güncelleme: 26 Eki 2026
EPSS: %0,1 · 9. yüzdelik
CWE: CWE-78

Rapor araçları

JSON

Aksiyon skoru

İzleyin

Şimdilik düşük öncelik.

CVSS: 28 / 40 · 7.1 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 0 / 30 · %0,1

CISA SSVC kararı

Sömürü: yok
Otomatikleştirilebilir: hayır
Teknik etki: tam

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: —
CNA · GitHub_M: 7,1; NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.

CVSS:4.0/AV:L/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Herkese açık istismar kodu kaydı yok
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

WordPress siteniz mi var? WP Lens ile ücretsiz tarayın

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

—

Üreticinin bildirdiği sürümler

Kaydı açan otorite (GitHub_M) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

pypa virtualenv
- >= 21.14.9, < 21.14.13etkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
PyPI	virtualenv	21.14.9 itibarıyla · 21.14.13 öncesi	21.14.13

Aynı üründe

pypa: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2026-113776virtualenv activation scripts run code from a path that contains a placeholder name
31İzleyin
CVE-2026-113732virtualenv activate.fish runs commands from a path or prompt with a backslash before a quote
31İzleyin
CVE-2026-113726virtualenv activate runs commands from the environment name in zsh with PROMPT_SUBST
31İzleyin

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2026-11372320 Eki 2026 · virtualenv: Bash prompt values can change meaning under older compatibility modes
28İzleyin
← ÖncekiCVE-2026-11372420 Eki 2026 · virtualenv: Deletion recovery can change a symlink target's mode
18İzleyin
← ÖncekiCVE-2026-11372520 Eki 2026 · virtualenv bash activate runs commands from an environment name with a backslash before $
31İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
pypa virtualenv	21.14.13 · description	Üretici (CNA)
PyPI:virtualenv	21.14.13	Paket deposu (OSV)

İstismar durumu

Bilinen kamuya açık istismar yok

Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın23 Eki 2026
Düzeltme kaydı23 Eki 2026aynı gün
Bugün27 Eki 2026+3 gün

EPSS son 120 gün

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

Kredi

Tüm araştırmacılar

CNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıklayın, aynı araştırmacının diğer kayıtlarını görün.

CNA kaydında kredi yok.

Varyant adayları

Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.

CVE-2026-1137223 gün araylavirtualenv: Generated POSIX console launchers interpret destination paths as shell syntax
31İzleyin
CVE-2026-1137253 gün araylavirtualenv bash activate runs commands from an environment name with a backslash before $
31İzleyin
CVE-2026-1137263 gün araylavirtualenv activate runs commands from the environment name in zsh with PROMPT_SUBST
31İzleyin
CVE-2026-1137323 gün araylavirtualenv activate.fish runs commands from a path or prompt with a backslash before a quote
31İzleyin
CVE-2026-1137763 gün araylavirtualenv activation scripts run code from a path that contains a placeholder name
31İzleyin
CVE-2026-10292524 gün araylavirtualenv bash and fish activation scripts execute commands embedded in paths
31İzleyin

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

—

Bug bounty kapsamı

Bilinen herkese açık program yok.

Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).

Teknik detay

Saldırı koşulları

Sisteme yerel erişimi olan biri tetikleyebilir.
Hesap ya da parola gerekmez.
Zamanlama ya da yapılandırma gibi özel koşullar gerekir.

Başarılı olursa

Gizlilik
Bütünlük
Erişilebilirlik

Saldırı vektörü: Yerel
Karmaşıklık: Yüksek
Gereken yetki: Yok
Kullanıcı etkileşimi: A
Kapsam: X

Zayıflık sınıfı (CWE)

CWE-78 · Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

CVSS vektörü

CVSS:4.0/AV:L/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Kök neden

Kullanıcı girdisi, bir kabuk komutunun içine metin olarak yerleştiriliyor. Kabuk, girdideki özel karakterleri komutun parçası olarak yorumlayabilir.

Hatanın kod karşılığı

CWE-78 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1const host = req.body.host;
2exec("ping -c 1 " + host, onResult);

Düzeltilmiş

1const host = req.body.host;
2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);
3execFile("ping", ["-c", "1", host], onResult);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Saldırı desenleri (CAPEC)

ATT&CK teknikleri

—

Değişiklik günlüğü

SSVC sömürü— → none23 Eki 2026 22:07 UTC
İstismar olgunluğu— → none23 Eki 2026 21:07 UTC
Düzeltme✗ → ✓23 Eki 2026 21:07 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

github.com/pypa/virtualenv/commit/3598e201f6f044e389136b2347a8a919ac03c5f4

Tüm referansları göster (3 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar