Les scripts d’activation générés par virtualenv peuvent exécuter du code lorsque le chemin de l’environnement ou le prompt contient le nom d’un espace réservé du modèle. Le problème touche les versions 20.26.6 à 21.14.1 et est corrigé dans 21.14.2.
Analyse technique
ViaTemplateActivator.instantiate_template() remplace les espaces réservés successivement dans tout le texte; une substitution ultérieure peut modifier une valeur déjà échappée et rendre le script généré exécutable. Les scripts bash et fish sont concernés; l’avis mentionne aussi xonsh et activate_this.py.
Impact, versions et correctif
Détection / vérification
Repérer virtualenv dans les environnements de construction et vérifier si des chemins de destination ou paramètres –prompt peuvent contenir des noms de substituants de modèle.
Action recommandée
Mettre à niveau virtualenv vers 21.14.2 ou une version ultérieure; en attendant, éviter les noms de chemins et prompts contenant les espaces réservés indiqués et vérifier les scripts avant activation.
Sources
Priorisation DFS : P3 · 2 source(s).