Dulwich - это чистая Python-реалформат файлов и протоколов Git. Начиная с версии 0.24.0 и до версии 1.2.5, dulwich.porcelain.format_patch(o…

Dulwich - это чистая Python-реалформат файлов и протоколов Git. Начиная с версии 0.24.0 и до версии 1.2.5, dulwich.porcelain.format_patch(outdir=...) получает каждое имя файла патча из строки темы. До этого исправления get_summary заменял только пробелы тире - сепараторы пути (/, \), компоненты родительского-направления (..) и другие символы, враждебные по именам файлов (например, :) сохранялись дословно и передавались прямо в os.path.join(outdir, f"{i:04d}-{scommary}.patch"). Таким образом, субъект вредоносного обязательства может направлять сгенерированный файл патча за пределы запрашиваемой ауттиры. Это зафиксировано в Dulwich 1.2.5. Пользователи должны обновиться до 1.2.5 или более поздней версии. dulwich.patch.get_summary теперь отражает формат git_santized_subject: удерживаются только `[A-Za-z0-9._]` прогоны, прогоны других символов рушатся до одного -, последовательно . коллапс до одного ., отставание ./- снято, и результат ограничен по длине. Это делает вернутую строку безопасной для встраивания в качестве компонента имени файла, поэтому format_patch больше не может быть выключен извне через предмет совершения. До обновления звонящие, которые проходят ненадежные обязательства по porcelain.format_patch, могут использовать stdout=True и записать патч в пункт назначения, который они контролирует, а не позволять format_patch выбирать имя файла; проверять выбранный путь перед открытием - например, сравните os.path.realpath(returned_path) с os.path.realpath(outdir) и отклонить любой патч, который не является решенным.line содержит /, \, .. или другие символы, которые не безопасны в целевой файловой системе.