漏洞总结 漏洞概述 该提交修复了 脚本中的命令注入(Command Injection)漏洞。漏洞主要存在于处理 USB 卷(volume)和 LNK 快捷方式文件(LNK parsing)的逻辑中。攻击者可以通过构造恶意的文件名或路径,利用 函数执行任意系统命令。 影响范围 受影响的文件为 。 修复方案 1. 移除 调用:将原本使用 执行 shell 命令的方式,替换为更安全的 或直接使用 。 2. 避免 Shell 拼接:在调用外部程序(如 )时,使用列表形式传递参数( ),而不是拼接字符串,从而防止参数被注入。 相关代码(修复前后的对比) 漏洞代码 (被删除部分): 修复代码 (新增部分):