CVE-2026-115586

virtualenv: Bash activator leaves the --prompt value unescaped in PS1 when promptvars is off, so prompt expansion later executes it (regression in 21.14.9)

CVSS 3.1Medium

7.1/ 10.0

Опубликовано

23 октября 2026 г.

Обновлено

23 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновить virtualenv до версии с исправлением регрессии 21.14.9 или явно включить 'shopt -s promptvars' перед запуском активационных скриптов.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Выполнение команд в virtualenv через переменную окружения PS1. Bash-активатор не экранирует значение аргумента --prompt при отключенном режиме promptvars.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Регрессия версии virtualenv 21.14.9 в скрипте активации bash. При выключенном shopt promptvars значение параметра --prompt подставляется в PS1 без экранирования, провоцируя подстановку команд при раскрытии промпта.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольных шелл-команд в контексте пользователя при активации виртуального окружения со специально подготовленным именем или значением prompt.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-115586: virtualenv: Bash activator leaves the --prompt value unescaped in PS1 when promptvars is off, so prompt expansion later executes it (regression in 21.14.9). URL: https://cve.futuretools.ru/cve/CVE-2026-115586

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_115586,
  title = {{CVE-2026-115586: virtualenv: Bash activator leaves the --prompt value unescaped in PS1 when promptvars is off, so prompt expansion later executes it (regression in 21.14.9)}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-115586}},
  note = {Оперативный инженерный анализ киберугроз}
}