virtualenv bash activate 环境名注入漏洞

virtualenv 的 bash `activate` 脚本存在命令注入缺陷：脚本只对 bash 处理 `PS1` 两轮中的一轮转义环境名，名称中的反斜杠会抵消转义，含 `\$(...)` 的环境名会在用户每次绘制提示符时以该用户权限执行命令。GitHub 安全公告库发布的 GHSA-vxj4-q4g9-crj7 称，攻击者需能影响环境名，例如通过 CI 作业或包装工具传入分支、项目或作业名，或通过克隆仓库、解压归档中的目录名。 该公告称，以 root 运行的 bash 会把 `\$` 解码为 `#`，因此载荷在 root 下显示异常且不执行；zsh 不做解码，不受影响。该问题已在 21.14.7 版本修复。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。