कॉपीयर का सुरक्षित टेम्पलेट मनमाना फ़ाइलसिस्टम रीड/राइट एक्सेस रखता है

यह भेद्यता हमलावरों को Copier के भीतर फ़ाइल सिस्टम तक अनधिकृत पहुँच प्राप्त करने की अनुमति देती है। Jinja टेम्पलेटिंग इंजन के माध्यम से, हमलावर संभावित रूप से संवेदनशील डेटा तक पहुँच सकते हैं या सिस्टम के व्यवहार को बदल सकते हैं। Copier की सुरक्षा मॉडल को बाईपास करके, हमलावर असुरक्षित Jinja एक्सटेंशन का उपयोग कर सकते हैं, जिससे वे मनमाने ढंग से फ़ाइलें एक्सेस कर सकते हैं। यह भेद्यता डेटा उल्लंघन, सिस्टम समझौता और अन्य गंभीर परिणामों का कारण बन सकती है।

Organizations and developers using Copier for project generation, particularly those relying on custom Jinja extensions or templates from untrusted sources, are at risk. Shared hosting environments where multiple users utilize Copier could also be vulnerable if templates are not properly isolated.

• python / project-generator:

import os
import subprocess

def check_copier_version():
    try:
        result = subprocess.run(['copier', '--version'], capture_output=True, text=True, check=True)
        version = result.stdout.strip()
        if version <= '9.9.0':
            print(f"Copier version is vulnerable: {version}")
        else:
            print(f"Copier version is patched: {version}")
    except FileNotFoundError:
        print("Copier is not installed.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking Copier version: {e}")

check_copier_version()

• generic web: Check Copier configuration files for references to custom Jinja extensions or potentially unsafe template features.

1. 2025-08-18Disclosure

   disclosure

1. आरक्षित2025-08-08
2. प्रकाशित2025-08-18
3. EPSS अद्यतन2026-03-23

सबसे प्रभावी शमन उपाय Copier को संस्करण 9.9.1 या बाद के संस्करण में अपडेट करना है, जिसमें यह भेद्यता ठीक की गई है। यदि तत्काल अपग्रेड संभव नहीं है, तो असुरक्षित Jinja एक्सटेंशन के उपयोग को सीमित करने के लिए Copier के कॉन्फ़िगरेशन की समीक्षा करें। फ़ाइल सिस्टम एक्सेस को और प्रतिबंधित करने के लिए WAF (वेब एप्लिकेशन फ़ायरवॉल) नियमों को लागू करने पर विचार करें। यदि संभव हो, तो --UNSAFE ध्वज के उपयोग को अक्षम करें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए सिस्टम का परीक्षण करें कि भेद्यता ठीक हो गई है और कोई नया मुद्दा नहीं है।