CVE-2026-31975
Təsvir
Cloud CLI (həmçinin Claude Code UI kimi tanınır), Claude Code, Cursor CLI, Codex və Gemini-CLI üçün masaüstü və mobil istifadəçi interfeysidir. Versiya 1.25.0-dan əvvəl, WebSocket Shell vasitəsilə Əməliyyat Sistemi Əmr İnyeksiyası (OS Command Injection) mümkündürdü. server/index.js faylındakı həm projectPath, həm də initialCommand WebSocket mesajının yükündən birbaşa götürülür və heç bir təmizləmə prosesi olmadan bash əmr sətrinə daxil edilir ki, bu da ixtiyari ƏS əmrlərinin icrasına şərait yaradır. Təmizlənməmiş sessionId vasitəsilə ikinci bir inyeksiya vektoru mövcuddur. Bu zəiflik 1.25.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- cloudcli cloud_cli1.25.0 və ya daha yeni versiya
- @siteboon/claude-code-ui1.25.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cloudcli cloud_cli | v < 1.25.0 | 1.25.0 |
| @siteboon/claude-code-uinpm | v < 1.25.0 | 1.25.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.