CVE-2025-64660

Podatność typu command injection w GitHub Copilot i Visual Studio Code. Nieautoryzowany atakujący może ujawnić informacje przez sieć.

Podatność typu os command injection w GitHub Copilot i Visual Studio Code pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień lokalnie.

Nieprawidłowe ograniczenie nazw plików i innych zasobów w GitHub Copilot umożliwia nieautoryzowanemu atakującemu lokalne wykonanie kodu.

W GitHub Copilot i Visual Studio Code wykryto niewystarczająco chronione poświadczenia, co umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.

Podatność w GitHub Copilot 1.372.0 umożliwia dostęp do systemu plików poza folderem roboczym bez zgody użytkownika poprzez parametr URI w funkcji fetch_webpage. Może to prowadzić do wycieku danych w przypadku pośredniego wstrzyknięcia promptu.

Podatność w GitHub Copilot i Visual Studio Code wynika z inicjalizacji zasobu z niebezpiecznym domyślnym ustawieniem, co umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.

Podatność typu path traversal w GitHub Copilot i Visual Studio Code pozwala nieautoryzowanemu atakującemu na lokalne ominięcie funkcji zabezpieczającej.

Podatność w GitHub Copilot i Visual Studio polega na niewłaściwej neutralizacji specjalnych elementów w danych wyjściowych używanych przez komponent nadrzędny, co umożliwia atakującemu ominięcie zabezpieczeń sieciowych. Luka ta może być wykorzystana zdalnie bez autoryzacji.

W GitHub Copilot i Visual Studio Code występuje niewłaściwa neutralizacja znaków specjalnych używanych w poleceniu (wstrzyknięcie poleceń). Uwierzytelniony atakujący może wykorzystać tę podatność do ujawnienia informacji przez sieć.

Nieprawidłowa walidacja wyników generatywnej sztucznej inteligencji w GitHub Copilot i Visual Studio Code pozwala upoważnionemu atakującemu na lokalne obejście funkcji bezpieczeństwa.