virtualenv pip seeder 下载时跳过 wheel 摘要校验

GitHub 安全公告库发布 GHSA-cx28-75q4-x26q：virtualenv 的 pip seeder 在同时启用 `--seeder pip` 与 `--download` 时，会先以 download=False 获取内置 wheel，随后允许 pip 查询索引，导致索引中同名同版本的 wheel 未经 SHA-256 与 PyPI 元数据比对即被安装。 公告称已确认受影响版本为 21.14.8，并在 21.14.9 修复。对于更早版本，公告建议不使用下载、仅使用内置 wheel，或另行获取并校验经批准的种子归档。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。