CVE-2026-53951
Təsvir
Copier layihə şablonlarının render edilməsi üçün kitabxana və CLI tətbiqidir. 9.5.0-dan 9.15.1-dək olan versiyalarda `trust` parametrinin prefiks uyğunlaşdırması (`copier/_settings.py`) şablon URL-ni etibarlı prefikslə xam `str.startswith` vasitəsilə və yol normallaşdırması olmadan müqayisə edir, halbuki şablon faktiki olaraq əldə edilərkən URL normallaşdırılır (lokal yollar üçün `Path.resolve()`; `https` üçün libcurl tərəfindən nöqtə-seqmentlərinin silinməsi). Buna görə də mətn baxımından etibarlı prefikslə başlayan, lakin `..` ehtiva edən şablon istinadı etibarlı sayılır, amma fərqli, hücumçu tərəfindən idarə olunan şablona çevrilir və həmin şablonun `tasks` / `migrations` / `jinja_extensions` hissələri `--trust` sorğusu olmadan icra olunur — ixtiyari əmrin icrası. 9.15.2 versiyası bu problemi aradan qaldırır.
Necə düzəltmək olar
- copier9.15.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| copierPyPI | 9.5.0 ≤ v < 9.15.2 | 9.15.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.