CVE-2022-24065

Versões do cookiecutter anteriores à 2.1.1

O problema diz respeito à injeção de comando por meio da injeção de argumentos no hg. Quando a função cookiecutter é chamada a partir de código Python com o parâmetro checkout, este é passado para o comando hg checkout de uma forma que permite a definição de sinalizadores adicionais. Esses sinalizadores adicionais podem ser usados para realizar uma injeção de comando.

Para versões anteriores à 2.1.1, atualize para a versão 2.1.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do parâmetro checkout ao chamar a função cookiecutter a partir de código Python para minimizar o risco de exploração.