CVE-2026-31975
Açıklama
Cloud CLI (Claude Code UI olarak da bilinir); Claude Code, Cursor CLI, Codex ve Gemini-CLI için bir masaüstü ve mobil kullanıcı arayüzüdür. 1.25.0 sürümünden önce, WebSocket Shell üzerinden OS Komut Enjeksiyonu zafiyeti bulunmaktadır. server/index.js dosyasındaki hem projectPath hem de initialCommand, doğrudan WebSocket mesaj yükünden alınmakta ve herhangi bir temizleme işlemi yapılmadan bir bash komut dizisine eklenmekte, bu da rastgele OS komutu çalıştırılmasına olanak tanımaktadır. Temizlenmemiş sessionId aracılığıyla ikincil bir enjeksiyon vektörü mevcuttur. Bu zafiyet 1.25.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- cloudcli cloud_cli1.25.0 ya da sonraki bir sürüm
- @siteboon/claude-code-ui1.25.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cloudcli cloud_cli | v < 1.25.0 | 1.25.0 |
| @siteboon/claude-code-uinpm | v < 1.25.0 | 1.25.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.