CVE-2026-66297

livebook-dev livebook içerisindeki bir İşletim Sistemi Komutunda Kullanılan Özel Öğelerin Uygun Şekilde Etkisizleştirilmemesi (OS Command Injection) zafiyeti, oluşturulan dağıtım kurulum komutlarına komut enjeksiyonuna izin vermektedir. lib/livebook_web/live/hub/teams/deployment_group_agent_component.ex dosyasındaki LivebookWeb.Hub.Teams.DeploymentGroupAgentComponent.docker_instructions/2 ve LivebookWeb.Hub.Teams.DeploymentGroupAgentComponent.fly_instructions/4 fonksiyonları, dağıtım grubu ortam değişkeni değerlerini kabuk kaçış karakterleri (shell escaping) kullanmadan oluşturulan Docker ve Fly.io kurulum komutlarına yerleştirmektedir. Değerler, dağıtım grubu yapılandırmasından kaynaklanmakta ve Livebook.Hubs.Dockerfile.online_docker_info/3 aracılığıyla hedef noktalara ulaşmaktadır. Her iki hedef nokta da değeri çift tırnak içine alınmış bir kabuk sözcüğü içerisine yerleştirdiğinden; $(...) veya ters tırnak gibi bir komut ikamesi içeren değer, tırnak işaretinden çıkmaya gerek kalmaksızın kabuk tarafından değerlendirilir ve gerçek bir çift tırnak işareti tırnak içindeki sözcüğü sonlandırarak rastgele ek belirteçlere izin verir. Oluşturulan komut, kopyalama düğmesiyle birlikte Livebook web arayüzünde görüntülenmektedir; bu nedenle komutu kopyalayıp incelemeden çalıştıran bir kullanıcı, enjekte edilen komutları kendi makinesinde ve kendi hesabı altında yürütür. Bir saldırganın, dağıtım grubu ortam değişkenlerini ayarlamak için yeterli ayrıcalıklara sahip olması gerekirken, ortaya çıkan kod yürütme işlemi oluşturulan komutu çalıştıran kişinin makinesinde gerçekleşir. Kubernetes talimatları etkilenmemektedir çünkü aynı değerleri bir kabuk komutu yerine kaçış karakterleriyle birlikte bir YAML manifestosuna aktarmaktadırlar. Bu sorun livebook'un 0.13.0 ile 0.18.7 arasındaki ve 0.19.0 ile 0.19.9 arasındaki sürümlerini etkilemektedir.