CVE-2024-6345

Una vulnerabilidad en el módulo package_index de las versiones de pypa/setuptools hasta 69.1.1 permite la ejecución remota de código a través de sus funciones de descarga. Estas funciones, que se utilizan para descargar paquetes desde URL proporcionadas por los usuarios o recuperadas de servidores de índice de paquetes, son susceptibles a la inyección de código. Si estas funciones están expuestas a entradas controladas por el usuario, como las URL de paquetes, pueden ejecutar comandos arbitrarios en el sistema. El problema se solucionó en la versión 70.0.

A flaw was found in the package_index module of pypa/setuptools. Affected versions of this package allow remote code execution via its download functions. These functions, which are used to download packages from URLs provided by users or retrieved from package index servers, are susceptible to code injection. If these functions are exposed to user-controlled inputs, such as package URLs, they can execute arbitrary commands on the system.