p PatchFirst

PYSEC-2026-4321

PYSEC-2026-4321 · uv's bundled CA store trusts an emSign root whose intermediate CA keys are compromised

This page contains facts from public vulnerability sources. Check the original advisory before updating.

By default, uv verifies TLS connections against a vendored copy of the `webpki-root-certs` bundle. Versions before 0.13.4 include the `emSign ECC Root CA - G3` root. Eight eMudhra intermediate CA certificates that chain to that root have compromised private keys, and the CA has revoked them. An attacker with one of the compromised keys can issue certificates that uv accepts for any hostname, and can be used to issue certificates to enable MITM attacks. uv 0.13.4 removes the root from its vendored bundle, following `webpki-root-certs` 1.0.10. Upgrade to 0.13.4 or later.

Fix available

Published
Updated

Stack: python

Affected products and versions

  • uv PyPI

    Versions
    • 0.0.5
    • 0.1.0
    • 0.1.1
    • 0.1.10
    • 0.1.11
    • 0.1.12
    • 0.1.13
    • 0.1.14
    • 0.1.15
    • 0.1.16
    • 0.1.17
    • 0.1.18
    • 0.1.19
    • 0.1.2
    • 0.1.20
    • 0.1.21
    • 0.1.22
    • 0.1.23
    • 0.1.24
    • 0.1.25
    • 0.1.26
    • 0.1.27
    • 0.1.28
    • 0.1.29
    • 0.1.3
    • 0.1.30
    • 0.1.31
    • 0.1.32
    • 0.1.33
    • 0.1.34
    • 0.1.35
    • 0.1.36
    • 0.1.37
    • 0.1.38
    • 0.1.39
    • 0.1.4
    • 0.1.40
    • 0.1.41
    • 0.1.42
    • 0.1.43
    • 0.1.44
    • 0.1.45
    • 0.1.5
    • 0.1.6
    • 0.1.7
    • 0.1.8
    • 0.1.9
    • 0.10.0
    • 0.10.1
    • 0.10.10
    • 0.10.11
    • 0.10.12
    • 0.10.2
    • 0.10.3
    • 0.10.4
    • 0.10.5
    • 0.10.6
    • 0.10.7
    • 0.10.8
    • 0.10.9
    • 0.11.0
    • 0.11.1
    • 0.11.10
    • 0.11.11
    • 0.11.12
    • 0.11.13
    • 0.11.14
    • 0.11.15
    • 0.11.16
    • 0.11.17
    • 0.11.18
    • 0.11.19
    • 0.11.2
    • 0.11.20
    • 0.11.21
    • 0.11.22
    • 0.11.23
    • 0.11.24
    • 0.11.25
    • 0.11.26
    • 0.11.27
    • 0.11.28
    • 0.11.29
    • 0.11.3
    • 0.11.30
    • 0.11.31
    • 0.11.32
    • 0.11.33
    • 0.11.4
    • 0.11.5
    • 0.11.6
    • 0.11.7
    • 0.11.8
    • 0.11.9
    • 0.12.0
    • 0.12.1
    • 0.12.10
    • 0.12.11
    • 0.12.12
    • 0.12.13
    • 0.12.14
    • 0.12.15
    • 0.12.16
    • 0.12.17
    • 0.12.18
    • 0.12.19
    • 0.12.2
    • 0.12.20
    • 0.12.21
    • 0.12.22
    • 0.12.23
    • 0.12.24
    • 0.12.3
    • 0.12.4
    • 0.12.5
    • 0.12.6
    • 0.12.7
    • 0.12.8
    • 0.12.9
    • 0.13.0
    • 0.13.1
    • 0.13.2
    • 0.13.3
    • 0.2.0
    • 0.2.1
    • 0.2.10
    • 0.2.11
    • 0.2.12
    • 0.2.13
    • 0.2.14
    • 0.2.15
    • 0.2.16
    • 0.2.17
    • 0.2.18
    • 0.2.19
    • 0.2.2
    • 0.2.20
    • 0.2.21
    • 0.2.22
    • 0.2.23
    • 0.2.24
    • 0.2.25
    • 0.2.26
    • 0.2.27
    • 0.2.28
    • 0.2.29
    • 0.2.3
    • 0.2.30
    • 0.2.31
    • 0.2.32
    • 0.2.33
    • 0.2.34
    • 0.2.35
    • 0.2.36
    • 0.2.37
    • 0.2.4
    • 0.2.5
    • 0.2.6
    • 0.2.7
    • 0.2.8
    • 0.2.9
    • 0.3.0
    • 0.3.1
    • 0.3.2
    • 0.3.3
    • 0.3.4
    • 0.3.5
    • 0.4.0
    • 0.4.1
    • 0.4.10
    • 0.4.11
    • 0.4.12
    • 0.4.13
    • 0.4.14
    • 0.4.15
    • 0.4.16
    • 0.4.17
    • 0.4.18
    • 0.4.19
    • 0.4.2
    • 0.4.20
    • 0.4.21
    • 0.4.22
    • 0.4.23
    • 0.4.24
    • 0.4.25
    • 0.4.26
    • 0.4.27
    • 0.4.28
    • 0.4.29
    • 0.4.3
    • 0.4.30
    • 0.4.4
    • 0.4.5
    • 0.4.6
    • 0.4.7
    • 0.4.8
    • 0.4.9
    • 0.5.0
    • 0.5.1
    • 0.5.10
    • 0.5.11
    • 0.5.12
    • 0.5.13
    • 0.5.14
    • 0.5.15
    • 0.5.16
    • 0.5.17
    • 0.5.18
    • 0.5.19
    • 0.5.2
    • 0.5.20
    • 0.5.21
    • 0.5.22
    • 0.5.23
    • 0.5.24
    • 0.5.25
    • 0.5.26
    • 0.5.27
    • 0.5.28
    • 0.5.29
    • 0.5.3
    • 0.5.30
    • 0.5.31
    • 0.5.4
    • 0.5.5
    • 0.5.6
    • 0.5.7
    • 0.5.8
    • 0.5.9
    • 0.6.0
    • 0.6.1
    • 0.6.10
    • 0.6.11
    • 0.6.12
    • 0.6.13
    • 0.6.14
    • 0.6.15
    • 0.6.16
    • 0.6.17
    • 0.6.2
    • 0.6.3
    • 0.6.4
    • 0.6.5
    • 0.6.6
    • 0.6.7
    • 0.6.8
    • 0.6.9
    • 0.7.0
    • 0.7.1
    • 0.7.10
    • 0.7.11
    • 0.7.12
    • 0.7.13
    • 0.7.14
    • 0.7.15
    • 0.7.16
    • 0.7.17
    • 0.7.18
    • 0.7.19
    • 0.7.2
    • 0.7.20
    • 0.7.21
    • 0.7.22
    • 0.7.3
    • 0.7.4
    • 0.7.5
    • 0.7.6
    • 0.7.7
    • 0.7.8
    • 0.7.9
    • 0.8.0
    • 0.8.1
    • 0.8.10
    • 0.8.11
    • 0.8.12
    • 0.8.13
    • 0.8.14
    • 0.8.15
    • 0.8.16
    • 0.8.17
    • 0.8.18
    • 0.8.19
    • 0.8.2
    • 0.8.20
    • 0.8.21
    • 0.8.22
    • 0.8.23
    • 0.8.24
    • 0.8.3
    • 0.8.4
    • 0.8.5
    • 0.8.6
    • 0.8.7
    • 0.8.8
    • 0.8.9
    • 0.9.0
    • 0.9.1
    • 0.9.10
    • 0.9.11
    • 0.9.12
    • 0.9.13
    • 0.9.14
    • 0.9.15
    • 0.9.16
    • 0.9.17
    • 0.9.18
    • 0.9.19
    • 0.9.2
    • 0.9.20
    • 0.9.21
    • 0.9.22
    • 0.9.23
    • 0.9.24
    • 0.9.25
    • 0.9.26
    • 0.9.27
    • 0.9.28
    • 0.9.29
    • 0.9.3
    • 0.9.30
    • 0.9.4
    • 0.9.5
    • 0.9.6
    • 0.9.7
    • 0.9.8
    • 0.9.9
    Affected ranges
    • ECOSYSTEM: < 0.13.4

    Update to 0.13.4

Original sources

Check your server →