В rustpython-vm переменные окружения сборки попадают в библиотеку и читаются в рантайме

Скрипт сборки rustpython-vm 0.3.0 — 0.5.0 записывает каждую переменную окружения сборки в $OUT_DIR/env_vars.rs. Крейт компилирует этот файл в модуль build_time_vars внутри _sysconfigdata, а модуль компилируется всегда.

Следствие

Бинарник, собранный в CI с секретами в окружении, содержит их в себе и делает доступными в рантайме через механизм introspection интерпретатора. Исправлено в 0.6.0.

Оригинал

RUSTSEC-2026-0394