漏洞概述 漏洞编号: OSEC-2026-03 描述: 在安装字段中包含目标文件路径时，尝试逃逸其作用域。 报告者: @andrew 修复者: @kit-ty-kate 影响范围 受影响版本: opam 2.5.1 具体影响: 在安装过程中，如果目标文件路径包含特殊字符或路径，可能会导致安全漏洞，允许攻击者逃逸到预期的作用域之外。 修复方案 修复版本: opam 2.5.1 修复内容: 对安装字段中的目标文件路径进行了验证和限制，防止路径逃逸。 相关提交: #6897 其他变更 字符串注入修复: 从 depexts 字段到 nix-build，当 时（#6894 @RyanGibb） Gentoo 上的分发检测恢复: （#6886 @kit-ty-kate - fix #6887） 支持单引号值: 在 文件中（#6886 @kit-ty-kate - fix #6887） 修复潜在的 GC 损坏: （#6882 @asvm - report by @andrew） 改进和扩展测试套件: （#6897 @rjbou @kit-ty-kate） API 变更: 在 中， 确保 被检测为文件分隔符，当使用 在 Windows 上时（#6897 @kit-ty-kate） 贡献者 主要贡献者: andrew, asvm, 和其他 3 位贡献者 资产 下载链接: 提供了多个平台的二进制文件和源码包，包括 Linux、macOS、Windows 等。 总结 opam 2.5.1 版本修复了一个重要的安全漏洞（OSEC-2026-03），该漏洞涉及安装字段中的目标文件路径逃逸问题。修复措施包括对路径的验证和限制，确保安装过程的安全性。此外，还进行了多项其他改进和修复，提升了软件的整体稳定性和安全性。