从这个网页截图中，我们可以获取到以下关于漏洞的关键信息： 1. 问题描述： - 标题：[Security] Code execution risk when running cdxgen against untrusted repos #1328 - 描述：代码执行风险，当使用 工具处理未信任的代码库时。 2. 问题类型： - 类型：安全问题 3. 问题状态： - 状态：已打开 4. 问题详情： - 摘要：用户在使用 工具时，可能会运行在未信任代码库上的工具，导致代码执行风险。 - POC（Proof of Concept）： - 生成一个使用 Gradle 的项目，并在 文件中添加代码。 - 运行 命令，结果是代码被执行。 - 已知工作绕过方法： - 使用容器镜像，限制挂载目录，使用 和 保护。 - 使用 或 选项来阻止 运行安装命令。 - 不在未信任代码库上运行 ，并避免使用 sudo/管理员权限。 - 使用 运行 。 5. 时间线： - 8 月 2024 年：收到研究员的电子邮件。 - 8 月 2024 年：初步响应：已知可接受的风险，包括执行任何 CLI 命令，包括包管理器命令。 - 9 月 2024 年：研究员分享了更多关于攻击 SCA 扫描器的信息，这些扫描器包装了 ，如 OWASP dep-scan。 - 9 月 2024 年：GitHub 问题创建。 6. 任务： - 更新文档和日志消息，警告在未信任代码库上运行 的风险。 - 添加新的 CLI 参数 来配置某些安装命令。 - 调查其他包管理器的类似能力。 - 调查 和 配置。 7. 目标： - 重新评估尝试模式支持。 这些信息表明，这是一个关于 工具在未信任代码库上运行时的安全风险的问题，需要通过更新文档、添加新参数和调查其他包管理器的类似能力来解决。