virtualenv 修复 zsh 环境名命令注入

virtualenv 在 21.14.4 版本中修复了一个命令注入漏洞：当 zsh 开启 `PROMPT_SUBST` 选项时，用户执行 bash 的 `activate` 脚本后，环境名中的 `$(...)`、反引号或 `${...}` 会在每次绘制提示符时被 zsh 执行。GitHub 安全公告库称，受影响版本为 21.14.3 及之前。 公告称，攻击者需要能够影响环境路径或提示符，例如 CI 任务或包装工具传入分支名、项目名或任务名，或者克隆仓库、解压归档中的目录名。 在修复版本可用前，公告建议在 source `activate` 前设置 `VIRTUAL_ENV_DISABLE_PROMPT=1`，使 `PS1` 不被修改；如果提示符不需要该选项，也可以运行 `unsetopt prompt_subst`。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。