CVE-2026-10176

Aider do wersji 0.86.2 zawiera podatność umożliwiającą wykonanie poleceń powłoki poprzez zatwierdzenie złośliwego pliku .aider.conf.yml, który jest automatycznie ładowany bez pytania o zaufanie. Atakujący może ustawić wartości notifications-command lub editor, które są wykonywane przez subprocess z shell=True po odpowiedziach modelu lub użyciu /editor.

aider (aider-chat) automatycznie ładuje plik konfiguracyjny .aider.conf.yml z katalogu głównego repozytorium git, w którym jest uruchamiany. Złośliwe repozytorium może ustawić test-cmd (wykonywany przy starcie) lub lint-cmd (wykonywany przy pierwszej edycji pliku), które aider uruchamia przez powłokę (subprocess z shell=True) bez potwierdzenia użytkownika, interakcji z LLM lub klucza API. W rezultacie użytkownik, który klonuje i uruchamia aider w repozytorium dostarczonym przez atakującego, może wykonać dowolne polecenia na swojej maszynie.

Podatność w Aider (Aider-AI) w wersji 0.86.3 umożliwia atak SSRF (Server-Side Request Forgery) poprzez manipulację w funkcji requests.get pliku api_docs.py, dotyczącą komponentu AWS EC2 Metadata Endpoint.

W narzędziu Aider w wersji 0.86.3 stwierdzono podatność w nieznanej funkcji pliku aider/args.py w komponencie Pre-commit Hook Handler. Manipulacja argumentem git-commit-verify prowadzi do awarii mechanizmu ochronnego. Atak może być wykonany zdalnie, exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.