CVE-2026-115586 Inyección de comandos en el activador bash de virtualenv por el valor de --prompt sin escapar en PS1

Qué es CVE-2026-115586

Desde 21.14.9 hasta 21.14.13, el script bash bin/activate puede copiar un valor de --prompt controlado por el atacante en PS1 sin escapar signos de dólar ni comillas invertidas cuando promptvars y el modo POSIX están deshabilitados durante la activación. Al reactivar promptvars, ejecutar set -o posix o iniciar un bash interactivo hijo que herede el PS1 exportado, se puede expandir la sustitución de comandos en VIRTUAL_ENV_PROMPT y ejecutar comandos como el usuario que activa el entorno. Corregido en la versión…

Productos y versiones afectadas

• pypa virtualenv

  • >= 21.14.9, < 21.14.13

Qué hacer

1. Verificá si usás virtualenv y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:L/AC:H/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Alta

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Activa

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

virtualenv is a tool for creating isolated virtual python environments. From 21.14.9 until 21.14.13, the bash bin/activate script can copy an attacker-controlled --prompt value into PS1 without escaping dollar signs or backticks when both promptvars and POSIX mode are disabled during activation. Re-enabling promptvars, running set -o posix, or starting an interactive child bash that inherits the exported PS1 can then expand command substitution in the stored VIRTUAL_ENV_PROMPT value and execute commands as the user who activates the environment. This issue is fixed in version 21.14.13.

Referencias

• github.com/pypa/virtualenv/security/advisories/GHSA-cx6f-vjhg-g3ccX_REFSOURCE_CONFIRM
• github.com/pypa/virtualenv/pull/3466X_REFSOURCE_MISC
• github.com/pypa/virtualenv/commit/3598e201f6f044e389136b2347a8a919ac03c5f4X_REFSOURCE_MISC
• github.com/pypa/virtualenv/releases/tag/21.14.13X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 18:38VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.