CVE-2026-23968 in copier

摘要

由 VulDB • 2026-05-26

Copier 是一个用于渲染项目模板的库和命令行应用程序。在 9.11.2 版本之前，Copier 声称从“安全”模板生成项目是安全的，即该模板不使用需要传递 `--UNSAFE,--trust` 标志的不安全功能（如自定义 Jinja 扩展）。然而事实证明，当前“安全”模板可以通过使用符号链接并结合 `_preserve_symlinks: false`（这是 Copier 的默认设置）来包含本地模板克隆位置之外的任意文件或目录。版本 9.11.2 修复了此问题。

Be aware that VulDB is the high quality source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-01-19
• 披露: 2026-01-22
• 管理: 已接受
• 条目: VDB-342256
• CPE: 准备好
• CWE: CWE-61 (已确认)
• CVSS: 5.5 (NVD)
• EPSS: 0.00200
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-23968
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-23968
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-23968/