CVE-2026-53951

Nome do Software Vulnerável e Versões Afetadas Copier versões 9.5.0 through 9.15.1

Description Existe um problema na correspondência de prefixo da configuração trust em copier/ settings.py, onde a URL do template é comparada com um prefixo confiável usando str.startswith sem normalização de caminho. Como a URL é normalizada durante o processo de busca real (usando Path.resolve() para caminhos locais e remoção de segmentos de ponto do libcurl para HTTPS), uma referência de template contendo .. que textualmente comece com um prefixo confiável pode receber a confiança. Isso permite que um template controlado por um invasor execute tasks, migrations ou jinja extensions sem o prompt --trust, resultando na execução arbitrária de comandos.

Recommendations Atualize para a versão 9.15.2.