漏洞关键信息总结 漏洞概述 该 Pull Request 修复了一个运行时占位符注入漏洞(runtime placeholder injection)。攻击者可以通过构造特定的占位符(如 , , ),在 命令执行时注入恶意代码。 影响范围 涉及 项目中的 命令执行逻辑。 具体影响函数包括 和 。 关联的安全问题编号为 #429, #441, #442。 修复方案 1. 转义处理:在 之前,根据 shell 上下文转义 , , 和 。 2. 字面量保持:保持非执行输出路径的替换为字面量,以确保文件名可读。 3. 具体实现: 在 文件中对所有占位符使用单引号进行转义。 仅在 和 函数中转义单引号。 4. 回归测试:添加了本地回归测试( )和 GitHub Actions 工作流,以防止此类注入漏洞再次发生。 POC/测试代码引用 页面中引用了以下测试文件作为验证修复效果的 POC: (注:修复后,这些 POC 脚本将无法创建其标记文件,表明注入已被阻止)*