filelock 硬链接路径目录删除漏洞

GitHub 安全公告库发布 GHSA-jqc4-5cvw-7w85：filelock 4.1.0 至 4.2.0 的 ReadWriteLock 与 AsyncReadWriteLock 在硬链接路径上用 shutil.rmtree 删除记住的 .filelock-* 目录，却不校验该路径仍是自己创建的目录，可被重命名触发递归删除；4.2.1 已修复。 公告称，触发需另一本地用户能重命名锁数据库所在目录中的条目，且该目录为无粘滞位的 0777 或组可写缓存、构建或项目目录；受影响路径包括 macOS 自 4.1.1 起的全部连接，以及无可用的 /proc/self/fd 的 POSIX 进程（如未挂载 /proc 的 chroot 或容器）。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。