virtualenv 修复配置回读路径注入漏洞

GitHub 安全公告库发布 GHSA-qmx5-4p3x-wvqf：virtualenv 在 `--creator venv` 模式下回读标准库生成的 pyvenv.cfg 时使用 `str.splitlines()`，目的地路径中的 U+2028 等行边界字符可注入 `home` 与 `include-system-site-packages` 配置。 触发需同时满足：调用方选择 venv creator（显式指定或经少见的回退路径），且不受信任的调用方能影响传给 creator 的目的地路径。已确认受影响版本为 21.14.8，21.14.9 已修复。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。