根据用户的要求，我需要从提供的网页截图中提取关于漏洞的关键信息，并用简洁的中文Markdown格式进行总结。 1. 漏洞概述 (Vulnerability Overview): 标题: Copier allows path traversal and absolute-path local file inclusion without unsafe mode 描述: 这是一个关于 库的安全漏洞。 核心问题: 参数允许路径遍历（path traversal）和绝对路径本地文件包含（absolute-path local file inclusion），即使在没有开启 模式的情况下。 具体表现: 攻击者可以通过 参数中的 字段，利用 进行目录遍历，或者使用绝对路径，从而读取或包含项目目录之外的文件。 2. 影响范围 (Affected Versions): 库名: copier 受影响版本: = 9.3.1 3. 修复方案 (Fix): 主要方案: 升级到 9.3.1 或更高版本。 临时缓解措施 (Mitigation): 虽然页面主要强调升级，但提到在 命令中，如果使用了 参数，需要小心处理。不过最直接的修复就是升级。 4. POC/利用代码 (POC/Exploit Code): 页面中提供了详细的复现步骤和代码示例。 关键代码块 1 (setup.py): 展示了如何配置 。 关键代码块 2 (copier.yml): 展示了模板配置，其中 字段被设置为 。 关键代码块 3 (Python 脚本): 展示了如何利用 传入恶意的 。 关键代码块 4 (命令行 POC): 展示了通过命令行 利用该漏洞读取 文件。 5. 整理输出: 将上述信息整合成结构清晰的 Markdown。 确保代码块完整提取。 语言为中文。 Drafting the response: 标题: Copier external_data 路径遍历与文件包含漏洞 概述: Copier 库的 参数存在安全缺陷，允许攻击者在未开启 模式的情况下，通过构造特殊的 参数进行路径遍历（使用 ）或指定绝对路径，从而读取或包含项目目录之外的任意本地文件。 影响范围: 版本 Copier external_data 允许路径遍历和绝对路径本地文件包含，且无需开启 unsafe 模式。 "Affected versions: = 9.3.1" Okay, ready to generate the output. Copier external_data 路径遍历与文件包含漏洞总结 漏洞概述 Copier 库的 参数存在严重安全缺陷。该参数允许攻击者在未开启 模式的情况下，通过构造特殊的 参数进行： 1. 路径遍历 (Path Traversal): 利用 符号跳出项目目录。 2. 绝对路径本地文件包含 (Absolute-path Local File Inclusion): 直接指定系统绝对路径。 这使得攻击者能够读取或包含项目目录之外的任意本地文件（如 ）。 影响范围 受影响库: 受影响版本: 修复版本: 修复方案 立即升级: 将 库升级至 9.3.1 或更高版本。 POC / 利用代码 1. 模板配置 (copier.yml) 2. Python 利用脚本 3. 命令行利用 (POC) 4. 触发漏洞的 setup.py 示例