PyPI vulnerabilities

PyPI appears in recent reporting primarily within the software supply chain security context. A large-scale npm ecosystem attack observed by Microsoft poses a threat to PyPI by stealing platform tokens, including those for PyPI, for potential republishing. A key development is PyPI's implementation of a new time-based defense policy that rejects file uploads to releases older than 72 hours. No specific CVEs are provided in the summaries to associate. Defenders should focus on the risk of exposed PyPI tokens being stolen from CI environments and used for malicious republishing, ensuring token rotation and the strict use of lockfiles.

Azərbaycanca: PyPI son hesabatlarda əsasən proqram təminatı təchizat zənciri təhlükəsizliyi kontekstində görünür. Microsoft-un müşahidə etdiyi npm ekosisteminə qarşı genişmiqyaslı hücumda, zərərli proqram npm, PyPI, RubyGems və JFrog kimi platformalar üçün tokenləri oğurlamaqla PyPI təchizatçısına potensial təsir göstərir. Əsas hadisə, həmçinin PyPI-nin köhnə buraxılışlara fayl yüklənməsini 72 saat məhdudlaşdıran yeni müdafiə siyasətini tətbiq etməsidir. Təqdim olunan məlumatlarda hər hansı spesifik CVE izahı olmadığı üçün konkret zəiflik əlaqələndirilməmişdir. Müdafiəçilər CI mühitlərində ifşa olmuş PyPI tokenlərinin oğurlanması və təkrar yayımlanması riskinə qarşı diqqətli olmalı, tokenləri rotasiya etməli və paket kilid fayllarından (lockfiles) istifadəni təmin etməlidirlər.

This hub is built from skopnix's own reporting on PyPI: the overview is AI-written from that coverage and every CVE links to its grounded explainer. KEV status comes from CISA's Known Exploited Vulnerabilities catalog and EPSS from FIRST — vendor, version and score details are never invented.