CVE-2026-30313
Təsvir
DSAI-Cline-ın əmrlərin avtomatik təsdiqi modulu, onun ağ siyahı (whitelist) təhlükəsizlik mexanizmini tamamilə effektivsiz edən kritik ƏMƏLİYYAT SİSTEMİ əmr inyeksiyası zəifliyinə malikdir. Sistem əmrləri yoxlamaq üçün sətir əsaslı analizdən istifadə edir; o, ;, &&, ||, | kimi təhlükəli operatorları və əmr əvəzetmə şablonlarını tutsa da, giriş məlumatlarına daxil edilmiş xamm newline (yeni sətir) simvollarını nəzərə almır. Hücumçu, ağ siyahıya daxil edilmiş əmr ilə zərərli kod arasında hərfi yeni sətir simvolu yerləşdirərək (məsələn, git log \nmalicious_command) payload hazırlaya bilər ki, bu da DSAI-Cline-ı onu təhlükəsiz əməliyyat kimi yanlış tanımlamağa və avtomatik təsdiqləməyə məcbur edir. Altda yerləşən PowerShell interpretatoru yeni sətiri əmr ayırıcısı kimi qəbul edərək hər iki əmri ardıcıl icra edir və bu da istifadəçi müdaxiləsi olmadan uzaqdan kodun icrasına (Remote Code Execution) səbəb olur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cline cline | v ≤ 1.1.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.