CVE-2026-54555
Açıklama
rtk, komut çıktılarını LLM bağlamına ulaşmadan önce filtreler ve sıkıştırır. 0.42.2 sürümünden önce, izin ayırıcı (permission splitter), Bash'in komut yürütme sınırları veya iç içe yürütme olarak değerlendirdiği çeşitli kabuk yapılarını ihtiyatlı bir şekilde ayırmıyor veya reddetmiyordu. Sonuç olarak, git gibi izin verilen bir önekle başlayan bir komut, bu yapılardan birinin arkasına ikinci bir komutu gizleyebiliyordu. rtk rewrite çıkış kodu 0 döndürerek Claude kancasının permissionDecision: "allow" üretmesine neden oluyordu. Yeniden yazılan komut hala gizli komutu içeriyordu, bu nedenle izin kurallarının zorunlu kılmayı amaçladığı kullanıcı onayı veya reddi olmadan çalışıyordu. Bu güvenlik açığı 0.42.2 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rtk-ai rtk | < 0.42.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.