virtualenv 缓存种子文件权限继承漏洞

GitHub 安全公告库发布 GHSA-fc2g-4w5p-6whm，指出 virtualenv 的 app-data 缓存种子机制使用 shutil.copy 复制文件，会保留缓存中旧的文件权限并覆盖当前 umask。公告称，若缓存中存在以比当前环境创建者预期更宽松权限创建的文件，且另一账户能够遍历新环境并访问这些文件，后续环境就可能出现其他本地账户可写的文件。 公告确认受影响版本为 21.14.8，已在 21.14.9 修复。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。