CVE-2026-53951
CVE-2026-53951 · Copier: trust-prefix bypass via path traversal runs tasks unprompted
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Copier is a library and CLI app for rendering project templates. In versions 9.5.0 through 9.15.1, the `trust` setting's prefix match (`copier/_settings.py`) compares the template URL against a trusted prefix with a raw `str.startswith` and no path normalization, while the URL is normalized when the template is actually fetched (`Path.resolve()` for local paths; libcurl dot-segment removal for `https`). A template reference that textually starts with a trusted prefix but contains `..` is therefore granted trust yet resolves to a different, attacker-controlled template, whose `tasks` / `migrations` / `jinja_extensions` then run without the `--trust` prompt — arbitrary command execution. Version 9.15.2 patches the issue.
CVSS 8.8 · Высокий · EPSS 0,3% · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
copier
- Версии
- >= 9.5.0, < 9.15.2: Затронуто
Нет опубликованного исправления
copier PyPI
- Версии
- 9.10.0
- 9.10.1
- 9.10.2
- 9.10.3
- 9.11.0
- 9.11.1
- 9.11.2
- 9.11.3
- 9.12.0
- 9.13.0
- 9.13.1
- 9.14.0
- 9.14.1
- 9.14.2
- 9.14.3
- 9.15.0
- 9.15.1
- 9.5.0
- 9.6.0
- 9.7.0
- 9.7.1
- 9.8.0
- 9.9.0
- 9.9.1
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 9.5.0, < 9.15.2
Обновитесь до 9.15.2