uv发布安全公告CVE-2025-54368，影响v0.8.5及之前版本，建议升级至v0.8.6。漏洞源于uv异步ZIP解析器与其他解析器存在两处分歧：悬空本地文件条目和中央目录偏移量解释不同，攻击者可构造ZIP使不同安装器解压结果不同且摘要不变。经排查PyPI未被利用，已加检查。uv已修复并主动拒绝多种畸形ZIP。