跳到正文
热点事件持续更新

virtualenv 激活脚本提示注入漏洞

1 篇报道1 个报道来源2 小时前更新

先了解这件事

AI 综述

GitHub 安全公告库发布通告称，virtualenv 的 Bash 激活脚本存在命令注入问题：攻击者若能影响传给 virtualenv 的 `--prompt` 值，用户随后激活环境并显示提示符时，`x$(touch MARKER)y` 这类值会被当作命令执行。触发需要 Bash 以 4.2 或更低兼容级别运行，或由 dash 直接 source `bin/activate`、子 dash 继承已导出的 `PS1`。 通告称该问题已在 21.14.9 修复，并限定于 POSIX 激活方式，未证明其他激活器同样受影响。

AI 根据报道生成 · 2 小时前更新

最新进展10月24日 06:21
virtualenv 的 Bash 提示符值在旧兼容模式下可被解释为命令

报道时间线

沿着报道，了解事件的不同侧面。

10月24日
  1. GitHub 安全公告库 (GHSA)
    virtualenv 的 Bash 提示符值在旧兼容模式下可被解释为命令

    virtualenv 的 bash 激活脚本存在命令注入问题：当 bash 以 4.2 或更低兼容级别运行、直接由 dash source `bin/activate`，或子 dash 继承已导出的 `PS1` 时，`--prompt` 传入的 `x$(touch MARKER)y` 这类值会在显示提示符时执行命令。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。