CVE-2026-36044
Açıklama
@pensar/apex <= 0.0.58 sürümü, smart_enumerate aracı üzerinden OS komut enjeksiyonuna karşı savunmasızdır. src/core/agent/tools.ts dosyasındaki createSmartEnumerateTool() fonksiyonu, extensions dizisinden ve url parametresinden gelen temizlenmemiş değerleri birleştirerek Node.js child_process.exec() fonksiyonuna iletilen bir kabuk komutu oluşturur. exec() bir kabuk başlattığı için bu değerlerdeki kabuk meta karakterleri ana bilgisayar kabuğu tarafından yorumlanır ve bu durum çalışan sürecin ayrıcalıklarıyla rastgele OS komutu çalıştırılmasına yol açar. NOT: Bu durum, pensarai/apex GitHub deposunun Güvenlik Politikası'nda açıklandığı üzere raporun amaçlanan davranışla ilgili olması nedeniyle Tedarikçi tarafından itiraz edilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @pensar apex | v ≤ 0.0.58 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.