CVE-2026-33623
Təsvir
PinchTab, süni intellekt agentlərinə Chrome brauzeri üzərində birbaşa nəzarət imkanı verən müstəqil HTTP serverdir. PinchTab `v0.8.4` versiyasında kəsilmiş Chrome təmizləmə yolunda yalnız Windows üçün aktual olan əmr inyeksiyası problemi mövcuddur. Nümunə dayandırıldıqda, Windows təmizləmə proseduru profil yolundan törəyən `needle` istifadə edərək PowerShell `-Command` sətiri qurur. `v0.8.4` versiyasında həmin sətir interpolyasiyası geri slash simvollarını (`\`) ekranlaşdırır, lakin digər PowerShell meta-simvollarını təhlükəsiz şəkildə neytrallaşdırmır. Əgər hücumçu xüsusi hazırlanmış profil adı ilə nümunə başlada və sonra təmizləmə yolunu tetikləyə bilsə, Windows hostunda PinchTab prosesi istifadəçisinin təhlükəsizlik kontekstində ixtiyari PowerShell əmrlərini icra edə bilər. Bu, autentifikasiyasız internet uzaqdan kodun icrası (RCE) deyil. Bu, nümunənin həyat dövrü son nöqtələrinə (endpoints) autentifikasiya olunmuş, inzibati səlahiyyətlərə ekvivalent API girişini tələb edir və nəticədə yaranan əmr icrası host imtiyaz sərhədlərini aşmaq əvəzinə, PinchTab əməliyyat sistemi istifadəçisinin icazələrini miras alır. Versiya 0.8.5 bu problem üçün yamı ehtiva edir.
Necə düzəltmək olar
- pinchtab pinchtab0.8.5 və ya daha yeni versiya
- github.com/pinchtab/pinchtab/cmd/pinchtab0.8.5 və ya daha yeni versiya
- github.com/pinchtab/pinchtab0.8.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pinchtab pinchtab | v < 0.8.5 | 0.8.5 |
| github.com/pinchtab/pinchtab/cmd/pinchtabGo | v < 0.8.5 | 0.8.5 |
| github.com/pinchtab/pinchtabGo | v < 0.8.5 | 0.8.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.