virtualenv 激活脚本占位符注入可致代码执行

GitHub 安全公告披露，virtualenv 20.26.6 至 21.14.1 的激活脚本模板替换存在缺陷：ViaTemplateActivator.instantiate_template 逐个键替换占位符，若已替换并加引号的值包含后续占位符名称，后续替换会改写引号内名称，使路径剩余部分在用户激活环境时作为代码执行。该漏洞由 GitHub Security Lab 的 Kevin Stubbings 报告，已在 21.14.2 修复。 攻击者需能影响环境的目标路径或 --prompt，例如 CI 任务或包装工具用分支名、项目名拼接路径，或目录来自克隆仓库、解压归档。公告建议不要创建路径或 --prompt 含 __VIRTUAL_NAME__、__VIRTUAL_ENV__、__VIRTUAL_PROMPT__ 等占位符名称的环境，并在 source 非自己创建的激活脚本前检查其内容。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。