CVE-2026-31246
Açıklama
GPT-Pilot'un 0819827ce20346ef5f25b3fe29293cb448840565 (2025-09-03) commit'ine kadar olan sürümleri, Executor.run() metodunda bir komut enjeksiyonu zafiyeti (CWE-78) içermektedir. Proje yürütme sırasında, sistem kullanıcıdan çalıştırılacak bir komutu onaylamasını veya değiştirmesini istediğinde, uygun doğrulama yapmadan serbest metin girişini kabul etmektedir. Kullanıcı tarafından sağlanan girdi, yürütülmek üzere doğrudan asyncio.create_subprocess_shell() fonksiyonuna aktarılmaktadır. Bu durum, bir saldırganın hedeflenen komutu rastgele kabuk komutlarıyla değiştirmesine ve GPT-Pilot sürecinin yetkileriyle uzaktan kod çalıştırmasına olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gpt-pilotPyPI | v ≤ 0.0.10 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.