setuptools 旧版 wheel 安装曝 Windows 路径逃逸
热点事件持续更新
setuptools 旧版 wheel 安装曝 Windows 路径逃逸
1 篇报道1 个报道来源3 小时前更新
先了解这件事
AI 综述
GitHub 安全公告库披露，setuptools 旧版 wheel 安装在 Windows 上存在路径逃逸漏洞（GHSA-xmj3-9gf7-h52w）：wheel 中 `.dist-info/namespace_packages.txt` 的命名空间值若为盘符限定的绝对路径，`os.path.join` 会丢弃目标目录，在 `destination_eggdir` 之外创建固定内容的 `__init__.py`。 公告称，攻击者可通过控制 wheel 内该文件的内容触发写出；演示复现要求目标父目录已存在。
AI 根据报道生成 · 2 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
10月24日
- GitHub 安全公告库 (GHSA)setuptools 旧版 wheel 安装存在 Windows 路径逃逸，namespace_packages.txt 可致文件写出目标目录
setuptools 旧版 wheel 安装路径在 Windows 上存在路径逃逸：wheel 中 `.dist-info/namespace_packages.txt` 的命名空间值若为盘符限定的绝对路径，`os.path.join` 会丢弃目标目录，在 `destination_eggdir` 之外创建固定内容的 `__init__.py`。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。