Vulnerability Details CVE-2026-23986
Copier is a library and CLI app for rendering project templates. Prior to version 9.11.2, Copier suggests that it's safe to generate a project from a safe template, i.e. one that doesn't use unsafe features like custom Jinja extensions which would require passing the `--UNSAFE,--trust` flag. As it turns out, a safe template can currently write to arbitrary directories outside the destination path by using directory a symlink along with `_preserve_symlinks: true` and a generated directory structure whose rendered path is inside the symlinked directory. This way, a malicious template author can create a template that overwrites arbitrary files (according to the user's write permissions), e.g., to cause havoc. Version 9.11.2 patches the issue.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.0
EPSS Ranking 5.6%
CVSS Severity
CVSS v3 Score 7.1
References
Products affected by CVE-2026-23986
-
cpe:2.3:a:copier-org:copier:1.1.1
-
cpe:2.3:a:copier-org:copier:1.6
-
cpe:2.3:a:copier-org:copier:2.0
-
cpe:2.3:a:copier-org:copier:2.0.1
-
cpe:2.3:a:copier-org:copier:2.1.0
-
cpe:2.3:a:copier-org:copier:2.2.1
-
cpe:2.3:a:copier-org:copier:2.2.2
-
cpe:2.3:a:copier-org:copier:2.2.3
-
cpe:2.3:a:copier-org:copier:2.3
-
cpe:2.3:a:copier-org:copier:2.3.1
-
cpe:2.3:a:copier-org:copier:2.3.2
-
cpe:2.3:a:copier-org:copier:2.3.3
-
cpe:2.3:a:copier-org:copier:2.4.0
-
cpe:2.3:a:copier-org:copier:2.4.1
-
cpe:2.3:a:copier-org:copier:2.4.2
-
cpe:2.3:a:copier-org:copier:2.5.0
-
cpe:2.3:a:copier-org:copier:2.5.1
-
cpe:2.3:a:copier-org:copier:3.0.0
-
cpe:2.3:a:copier-org:copier:3.0.1
-
cpe:2.3:a:copier-org:copier:3.0.2
-
cpe:2.3:a:copier-org:copier:3.0.3
-
cpe:2.3:a:copier-org:copier:3.0.4
-
cpe:2.3:a:copier-org:copier:3.0.5
-
cpe:2.3:a:copier-org:copier:3.0.6
-
cpe:2.3:a:copier-org:copier:3.1.0
-
cpe:2.3:a:copier-org:copier:3.2.0
-
cpe:2.3:a:copier-org:copier:4.0.0
-
cpe:2.3:a:copier-org:copier:4.0.1
-
cpe:2.3:a:copier-org:copier:4.0.2
-
cpe:2.3:a:copier-org:copier:4.1.0
-
cpe:2.3:a:copier-org:copier:5.0.0
-
cpe:2.3:a:copier-org:copier:5.1.0
-
cpe:2.3:a:copier-org:copier:6.0.0
-
cpe:2.3:a:copier-org:copier:6.1.0
-
cpe:2.3:a:copier-org:copier:6.2.0
-
cpe:2.3:a:copier-org:copier:7.0.0
-
cpe:2.3:a:copier-org:copier:7.0.1
-
cpe:2.3:a:copier-org:copier:7.1.0
-
cpe:2.3:a:copier-org:copier:7.2.0
-
cpe:2.3:a:copier-org:copier:8.0.0
-
cpe:2.3:a:copier-org:copier:8.1.0
-
cpe:2.3:a:copier-org:copier:8.2.0
-
cpe:2.3:a:copier-org:copier:8.3.0
-
cpe:2.3:a:copier-org:copier:9.0.0
-
cpe:2.3:a:copier-org:copier:9.0.1
-
cpe:2.3:a:copier-org:copier:9.1.0
-
cpe:2.3:a:copier-org:copier:9.1.1
-
cpe:2.3:a:copier-org:copier:9.10.0
-
cpe:2.3:a:copier-org:copier:9.10.1
-
cpe:2.3:a:copier-org:copier:9.10.2
-
cpe:2.3:a:copier-org:copier:9.10.3
-
cpe:2.3:a:copier-org:copier:9.11.0
-
cpe:2.3:a:copier-org:copier:9.11.1
-
cpe:2.3:a:copier-org:copier:9.2.0
-
cpe:2.3:a:copier-org:copier:9.3.0
-
cpe:2.3:a:copier-org:copier:9.3.1
-
cpe:2.3:a:copier-org:copier:9.4.0
-
cpe:2.3:a:copier-org:copier:9.4.1
-
cpe:2.3:a:copier-org:copier:9.5.0
-
cpe:2.3:a:copier-org:copier:9.6.0
-
cpe:2.3:a:copier-org:copier:9.7.0
-
cpe:2.3:a:copier-org:copier:9.7.1
-
cpe:2.3:a:copier-org:copier:9.8.0
-
cpe:2.3:a:copier-org:copier:9.9.0
-
cpe:2.3:a:copier-org:copier:9.9.1