CVE-2026-31861
Təsvir
Cloud CLI (həmçinin Claude Code UI kimi tanınır) Claude Code, Cursor CLI, Codex və Gemini-CLI üçün masaüstü və mobil istifadəçi interfeysidir. Versiya 1.24.0-dan əvvəl /api/user/git-config son nöqtəsi (endpoint), istifadəçi tərəfindən təmin edilən gitName və gitEmail dəyərlərini child_process.exec() funksiyasına ötürülən komanda sətirlərinə daxil etməklə shell komandaları formalaşdırır. Giriş məlumatları qoşa dırnaqlar daxilinə yerləşdirilir və yalnız " simvolu ekranlaşdırılır (escaped), lakin bash-də qoşa dırnaqlı sətirlər daxilində geri dırnaqlar (`), $() komanda əvəzləmələri və \ ardıcıllıqlarının hamısı şərh olunur. Bu, autentifikasiya olunmuş hücumçulara git konfiqurasiyası son nöqtəsi vasitəsilə ixtiyari ƏMƏLİ sistem komandalarını icra etməyə imkan verir. Bu zəiflik 1.24.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- cloudcli cloud_cli1.24.0 və ya daha yeni versiya
- @siteboon/claude-code-ui1.24.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cloudcli cloud_cli | v < 1.24.0 | 1.24.0 |
| @siteboon/claude-code-uinpm | v < 1.24.0 | 1.24.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.