Untrusted search path vulnerability in the PySys_SetArgv API function in Python 2.6 and earlier, and possibly later versions, prepends an empty string to sys.path when the argv[0] argument does not contain a path separator, which might allow local users to execute arbitrary code via a Trojan horse Python file in the current working directory.

Una vulnerabilidad de ruta de búsqueda no confiable en la función API PySys_SetArgv en Python versión 2.6 y anteriores, y posiblemente versiones posteriores, antepone una cadena vacía al archivo sys.path cuando el argumento argv [0] no contiene un separador de ruta, lo que podría permitir a los usuarios locales ejecutar código arbitrario por medio de un archivo Python de tipo caballo de Troya en el directorio de trabajo actual.