virtualenv 21.14.9 bash 激活脚本未转义 prompt 值

GitHub 安全公告库发布 GHSA-cx6f-vjhg-g3cc：virtualenv 21.14.9 的 bash `bin/activate` 在激活时若 `promptvars` 关闭，会把调用方提供的 `--prompt` 值未经转义写入 `PS1`，并假定此后不会发生提示符展开。公告称，控制该 prompt 值的攻击者可以以 source `bin/activate` 的用户身份执行命令。 公告指出，这是 21.14.9 为修复 GHSA-6w3r-xr62-4xcp（#3418）重写该段代码时留下的路径；21.14.8 会无条件转义 `$` 和反引号，在同样序列下不受影响。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。