跳到正文
GitHub 安全公告库 (GHSA)·· 20 小时前AI 评分22

virtualenv 删除失败恢复逻辑可改变符号链接目标权限(21.7.5 起,PR #3427 修复)

virtualenv: Deletion recovery can change a symlink target's mode

AI 导读

virtualenv 的 safe_delete() 在删除失败恢复权限时用 lstat() 读取符号链接自身权限位,却用会跟随链接的 chmod() 应用,导致只读目录内符号链接指向的目标文件权限被改为 0777。该错误处理逻辑自 21.7.5 引入,需删除失败且调用用户拥有目标文件并可修改其权限,root 不会进入该路径。PR #3427 已避免在删除失败时修改 POSIX 权限。

来源:GitHub 安全公告库 (GHSA) · github.com