virtualenv 修复 activate.fish 命令注入漏洞

GitHub 安全公告库发布通告称，virtualenv 的 FishActivator 未定义 quote()，沿用 shlex.quote 的 POSIX 规则，导致 activate.fish 存在命令注入问题（GHSA-c947-3pg5-gm8q）。攻击者需能影响环境路径或提示符，例如 CI 任务或包装工具传入分支、项目或任务名，或使用克隆仓库、解压归档中的目录。 该漏洞影响所有附带 activate.fish 的 21.14.1 及更早版本，已在 21.14.2 中修复。公告建议不要创建路径或提示符含反斜杠的环境，并在 source 非自己创建的 activate.fish 前先检查其内容。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。