virtualenv 修复 xonsh 激活脚本注入漏洞

virtualenv 修复了 xonsh 激活脚本的注入缺陷，并在 21.14.9 版本中发布修复；该问题在 21.14.8 上可复现。 问题出在生成器以 UTF-8 写入 activate.xsh，而 xonsh 按 $XONSH_ENCODING 读取。在 GBK 或 Big5 等编码下，UTF-8 字节与后续反斜杠被合并解码，导致引号转义失效；攻击者若能控制 prompt 或 destination 值，就可能让这些值在激活时变成可执行语句。触发还需使用受影响的 xonsh 源编码，并随后 source 生成的文件。 该公告针对 POSIX 激活场景。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。