CVE-2026-30311
Təsvir
Ridvay Code-un əmrlərin avtomatik təsdiqlənməsi modulu, onun ağ siyahı (whitelist) təhlükəsizlik mexanizmini tamamilə effektivsiz edən kritik ƏMƏLİYYAT SİSTEMİ əmr inyeksiyası zəifliyinə malikdir. Sistem əmr strukturlarını analiz etmək üçün zəif requlyar ifadələrdən istifadə edir; sistem təhlükəli əməliyyatları qarşısını almağa çalışsa da, standart Shell əmr əvəzetmələrini (xüsusilə $(...) və geri dırnaqlar `...`) nəzərə almır. Hücumçu `git log --grep="$(malicious_command)"` kimi bir əmr quraraq, Syntx-i bunu təhlükəsiz git əməliyyatı kimi yanlış müəyyən etməyə və onu avtomatik təsdiqləməyə məcbur edə bilər. Altda yerləşən Shell arqumentlər daxilinə inyeksiya edilmiş zərərli kodun icrasına üstünlük verir ki, bu da istifadəçi ilə heç bir qarşılıqlı əlaqə olmadan uzaqdan kodun icrasına (Remote Code Execution) səbəb olur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ridvay auto-approval_module | v ≤ 0.1.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.