Dependecy Confusion via Lookup Request Forwarding to PyPi.org
该报告还没有中文解读。
原文摘录
摘自原文（6335 字符中的一小部分）
*pip* is probably the most popular *Python* package manager and can be used to install packages from the publicly available *Python Package Index* (*PyPi*) at [pypi.org](https://pypi.org) or form internal package repositories. In the beginning of 2021, a vulnerability type called *Dependency …
原文中的代码
$ pip install usd-example-project --index-url https://gitlab.example.com/api/v4/projects/10/packages/pypi/simple --extra-index-url https://gitlab.example.com/api/v4/projects/11/packages/pypi/simple
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 GitLab 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @usd-responsible-disclosure · 版权归作者与 GitLab 所有