Bun版本更新
Bun v1.3.6：新增 Bun.Archive 创建和解压 tarball
Bun v1.3.6 新增 Bun.Archive，可以直接创建和解压 tar 包并可选 gzip 压缩，同时修复了 tarball 解压时借符号链接进行路径穿越的漏洞，现在会拒绝绝对路径和逃出解压目录的相对符号链接。
Bun.spawn、环境变量和 shell 模板字面量会拒绝参数中的空字节，防止空字节注入（CWE-158），通配符证书也按 RFC 6125 更严格地匹配；另外新增 Bun.JSONC 解析带注释的 JSON，Bun.build 支持 metafile 和 files 选项。
要点
- 新增 Bun.Archive 创建和解压 tarball。
- 修复借符号链接解压 tarball 的路径穿越漏洞。
- 拒绝参数和环境变量中的空字节，防止注入。
- 通配符证书按 RFC 6125 严格匹配。
- 新增 Bun.JSONC 解析带注释的 JSON。
原文：Bun v1.3.6
Fixed: Path traversal vulnerability via symlink in tarball extraction.
收录于 。摘自官方更新日志的简短节选，著作权归原发布者所有。