Copierはプロジェクトテンプレートをレンダリングするためのライブラリ兼CLIアプリケーションです。バージョン9.11.2以前では、CopierがカスタムJinja拡張などの危険な機能を使用しない安全なテンプレートからプロジェクトを生成することは安全であると示唆していましたが、実際には安全なテンプレートでもシンボリックリンクを利用し、「_preserve_symlinks: true」を設定し、レンダリングされたパスがシンボリックリンクされたディレクトリ内にあるような生成ディレクトリ構造を使用することで、宛先パス外の任意のディレクトリに書き込みが可能でした。これにより、悪意のあるテンプレート作成者はユーザーの書き込み権限に応じて任意のファイルを上書きするテンプレートを作成し、混乱を引き起こす可能性があります。この問題はバージョン9.11.2で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。