作者在此。我们发现了 Docker cp 中的一个漏洞，允许恶意容器在运行 Docker CLI 的机器上创建或覆盖文件。该利用方式结合了 Docker 归档创建过程中的文件系统竞态条件，以及提取阶段不安全的符号链接处理。根据 CLI 用户的权限级别，此漏洞可能导致开发者账户被攻破或实现 root 代码执行。Docker 确认 sbx cp 也受到影响。 修复版本： Docker Engine/CLI 29.7.2+ Docker Desktop 4.86.0+ Docker Sandboxes 0.38.0+ 欢迎回答技术问题。由 /u/ronmasas 提交