CVE-2026-25046
Təsvir
Kimi Agent SDK tətbiqlərdə Kimi Code (Kimi CLI) agent runtime-nı təmin edən kitabxanalar toplusudur. vsix-publish.js və ovsx-publish.js skriptləri fayl adlarını shell əmr sətirləri kimi execSync()-ə ötürür. Versiya 0.1.6-dan əvvəl, $(cmd) kimi shell meta simvolları ehtiva edən fayl adları ixtiyari əmrlərin icrasına səbəb ola bilərdi. Qeyd: Bu zəiflik yalnız repozitoriyanın tərtibat skriptlərində mövcuddur. Yayınlanmış VSCode genişlənməsi bu faylları daxil etmir və son istifadəçilərə təsir göstərmir. Bu problem versiya 0.1.6-da execSync funksiyasının massiv arqumentləri ilə işləyən execFileSync ilə əvəz edilməsi yolu ilə düzəldilmişdir. Müvəqqəti həll yolu kimi, publish skriptlərini işə salmazdan əvvəl layihə kataloqundakı .vsix fayllarının təhlükəsiz fayl adlarına malik olduğundan əmin olun.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| MoonshotAI kimi-agent-sdk | < 0.1.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.