因此，它會受到 ALAS2023-2026-3296 公告中所提及的多個弱點影響。

    virtualenv 是一個用於創建隔離虛擬 Python 環境的工具。在 21.7.12之前，download_wheel（） 接受為定期更新或 --download 選項擷取的 pip 和 setuptools 種子輪，而無需根據相當於內嵌輪的BUNDLE_SHA256驗證的權威摘要檢查其位元組。已入侵的索引、過時的鏡像或攔截的 TLS 連線可以在要求的發行版、版本和檔案名稱下取代不同的輪子，之後 virtualenv 會將攻擊者控制的輪子快取並植入後續建立的環境中。該驗證適用於預設的 PyPI 路徑，當PIP_INDEX_URL、PIP_EXTRA_INDEX_URL 或 PIP_INDEX 配置可以合法發布重建輪的自訂索引時，會故意跳過該驗證。21.7.12 版已修正此問題。
    (CVE-2026-102930)

    virtualenv 是一個用於創建隔離虛擬 Python 環境的工具。在之前 21.7.11，PyEnvCfg.write（） 將提示值逐字寫入行導向的 pyvenv.cfg 格式，而 PyEnvCfg._read_values（） 使用 str.splitlines（） 剖析檔案並接受重複鍵的最後一個值。影響
    --prompt、VIRTUALENV_PROMPT 或組態輸入可能會插入已辨識的行邊界和其他索引鍵 （包括 home），導致消費者使用攻擊者選取的基底解譯器或損毀的環境中繼資料。安全性影響需要從運營商的信任邊界之外及時輸入;直接提供的提示內容主要會破壞操作員自己的環境。21.7.11 版已修正此問題。(CVE-2026-102938)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023：python3.13-virtualenv （ALAS2023-2026-3296）

high Nessus Plugin ID 371896

版本 1.1