Double evaluation in .bash_prompt of dotfiles allows a malicious repository to execute arbitrary commands
该报告还没有中文解读。
原文摘录
摘自原文（2079 字符中的一小部分）
Summary Due to the improper usage of the `PS1` environment variable in [`.bash_prompt` of dotfiles](https://github.com/iandunn/dotfiles/blob/16a432681077362f263cb926737ad5cca5df6307/.bash_prompt), a malicious repository can execute arbitrary commands when changed the current directory to it.
原文中的代码
export PS1="\n${command_mark}${color_user_host}\u${color_reset} @ ${color_user_host}$hostname${color_reset} in ${color_folder}\w${color_reset} \
$(vcs_prompt) \
\n> "默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Ian Dunn 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @ryotak · 版权归作者与 Ian Dunn 所有