关键信息 漏洞描述 漏洞类型: 路径遍历 (Path Traversal) 影响函数: 问题: 导致任意文件写入 (Arbitrary File Write) 漏洞代码 问题分析 在第二个参数以斜杠或驱动器字母开头时会丢弃第一个参数 ( )。 来自未经充分清理的 URL，尽管尝试通过替换 为 进行清理，但仍然不足。 证明概念 (PoC) 使用 下载文件到本地 HTTP 服务器，绕过 目录限制，写入敏感位置。 示例 Payload: 写入路径: 风险评估 CVE 参考: CVE-2022-4097 和 CVE-2024-6345 影响: 攻击者可以以运行 Python 代码的进程权限写入文件系统中的任意位置，可能升级为远程代码执行 (RCE)。 修复措施 已添加检查确保名称相对于 解析。 提交哈希: 250u6d1 讨论 是否可以将修复回溯到 setuptools 75.3.x 版本以支持 Python 3.8。