CVE-2026-19592

Windows, macOS və Linux üçün OpenAI Codex CLI və Windows və macOS üçün Codex Desktop, repository-local core.fsmonitor parametrinə deaktiv etmədən Git repozitoriyasının metadata məlumatlarını avtomatik olaraq toplayırdı. Əgər istifadəçi, saxlanılmış .git/config faylında core.fsmonitor parametrini hücum edən tərəfin nəzarətində olan filesystem-monitor köməkçisinə təyin edən, hücumçu tərəfindən hazırlanmış repozitoriyanı açarsa və ya ondan istifadə edərsə, Codex repozitoriya metadatalarını toplayarkən Git həmin köməkçini icra edə bilər. Köməkçi proqram Codex-in əmr qumu (sandbox) xaricində və istifadəçi təsdiqi olmadan işləyir ki, bu da hücumçu tərəfindən idarə olunan kodun istifadəçinin imtiyazları ilə icrasına şərait yaradır. Kod istifadəçinin fayllarını oxuya, dəyişdirə və ya silə, həmçinin istifadəçi hesabına əlçatan digər resurslara daxil ola bilər. Adi Git klonlama prosesi mənbə repozitoriyasının lokal .git/config faylını saxlamır; boşluğun istismarı üçün repozitoriyanın həmin konfiqurasiya olduğu kimi ötürülməsi və ya kopyalanması tələb olunur.