virtualenv 种子清理存在路径穿越漏洞

GitHub 安全公告库发布公告称，virtualenv 的 app-data seeder 在重装种子包前，会读取已有 pip-*.dist-info 中 top_level.txt 与 RECORD 的条目，将其拼接至 site-packages 后直接删除，未校验路径是否越出环境根目录，因此可能删除环境外文件。 公告称，触发该问题需同时满足两个条件：被复用的环境含有受其他账户影响的发行版元数据，且执行操作的用户对元数据所指路径有删除权限；若安装全新环境且没有既有包元数据，则不会进入该清理路径。该问题已在 21.14.9 修复。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。