virtualenv 下载校验绕过漏洞修复

GitHub 安全公告披露 virtualenv 的 wheel 下载校验可被绕过：下载文件先写入可复用的 wheel/house 缓存，校验目标却取自 pip 输出的首条“Saved ”行，索引可通过被丢弃链接的 data-requires-python 属性伪造该行，使下载时被拒的文件仍可能被后续缓存选择使用。 该问题影响 21.14.8，已在 21.14.9 修复。公告称，利用需启用默认索引摘要校验；校验失败后应丢弃该下载缓存再复用。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。