Le modèle sécurisé de Copier permet un accès de lecture/écriture arbitraire sur le système de fichiers

L'impact principal de cette vulnérabilité réside dans la possibilité pour un attaquant d'accéder à des fichiers sensibles présents sur le système où Copier est exécuté. L'attaquant pourrait exploiter des extensions Jinja non sécurisées pour lire des fichiers en dehors du répertoire de modèle prévu, contournant ainsi les restrictions de sécurité initiales. Cela pourrait conduire à la divulgation d'informations confidentielles, telles que des clés API, des mots de passe, ou des données de configuration. Bien que Copier suggère l'utilisation de modèles sûrs, l'absence de validation rigoureuse des entrées permet à un attaquant de contourner cette protection en fournissant un modèle malveillant.

Organizations and developers using Copier for project generation, particularly those relying on custom Jinja extensions or templates from untrusted sources, are at risk. Shared hosting environments where multiple users utilize Copier could also be vulnerable if templates are not properly isolated.

• python / project-generator:

import os
import subprocess

def check_copier_version():
    try:
        result = subprocess.run(['copier', '--version'], capture_output=True, text=True, check=True)
        version = result.stdout.strip()
        if version <= '9.9.0':
            print(f"Copier version is vulnerable: {version}")
        else:
            print(f"Copier version is patched: {version}")
    except FileNotFoundError:
        print("Copier is not installed.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking Copier version: {e}")

check_copier_version()

• generic web: Check Copier configuration files for references to custom Jinja extensions or potentially unsafe template features.

1. 2025-08-18Disclosure

   disclosure

1. Réservé2025-08-08
2. Publiée2025-08-18
3. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Copier vers la version 9.9.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement les fonctionnalités Jinja non sécurisées, ou de restreindre l'accès aux fichiers en modifiant les permissions du système de fichiers. En attendant la mise à jour, examinez attentivement les modèles utilisés par Copier et assurez-vous qu'ils ne contiennent pas de code malveillant. Surveillez les journaux d'accès aux fichiers pour détecter toute activité suspecte.