CVE-2026-23653
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W GitHub Copilot i Visual Studio Code występuje niewłaściwa neutralizacja znaków specjalnych używanych w poleceniu (wstrzyknięcie poleceń). Uwierzytelniony atakujący może wykorzystać tę podatność do ujawnienia informacji przez sieć.
Ocena ryzyka
Uwierzytelniony atakujący może doprowadzić do wycieku informacji poza granice zaufania, co może naruszyć poufność danych w środowisku programistycznym. Ryzyko dotyczy organizacji korzystających z tych narzędzi.
Rekomendacja
Zastosuj aktualizację GitHub Copilot i Visual Studio Code udostępnioną przez producenta. Ogranicz uprawnienia rozszerzeń i weryfikuj zaufane źródła w środowisku deweloperskim.
Inne podatności w GitHub Copilot
Zobacz wszystkie- CVE-2026-81380Średnie
Podatność typu command injection w GitHub Copilot i Visual Studio Code. Nieautoryzowany atakujący może ujawnić informacje przez sieć.
- CVE-2026-70335Wysokie
Podatność typu os command injection w GitHub Copilot i Visual Studio Code pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień lokalnie.
- CVE-2026-50510Wysokie
Nieprawidłowe ograniczenie nazw plików i innych zasobów w GitHub Copilot umożliwia nieautoryzowanemu atakującemu lokalne wykonanie kodu.
- CVE-2026-47282Średnie
W GitHub Copilot i Visual Studio Code wykryto niewystarczająco chronione poświadczenia, co umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.
- CVE-2025-66389Wysokie
Podatność w GitHub Copilot 1.372.0 umożliwia dostęp do systemu plików poza folderem roboczym bez zgody użytkownika poprzez parametr URI w funkcji fetch_webpage. Może to prowadzić do wycieku danych w przypadku pośredniego wstrzyknięcia promptu.
- CVE-2026-50519Średnie
Podatność w GitHub Copilot i Visual Studio Code wynika z inicjalizacji zasobu z niebezpiecznym domyślnym ustawieniem, co umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.
- CVE-2026-45482Wysokie
Podatność typu path traversal w GitHub Copilot i Visual Studio Code pozwala nieautoryzowanemu atakującemu na lokalne ominięcie funkcji zabezpieczającej.
- CVE-2026-41109Wysokie
Podatność w GitHub Copilot i Visual Studio polega na niewłaściwej neutralizacji specjalnych elementów w danych wyjściowych używanych przez komponent nadrzędny, co umożliwia atakującemu ominięcie zabezpieczeń sieciowych. Luka ta może być wykorzystana zdalnie bez autoryzacji.
- CVE-2025-64660Wysokie
Nieprawidłowa kontrola dostępu w GitHub Copilot i Visual Studio Code umożliwia autoryzowanemu atakującemu wykonanie kodu przez sieć.
- CVE-2025-62453Średnie
Nieprawidłowa walidacja wyników generatywnej sztucznej inteligencji w GitHub Copilot i Visual Studio Code pozwala upoważnionemu atakującemu na lokalne obejście funkcji bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of special elements used in a command ('command injection') in GitHub Copilot and Visual Studio Code allows an authorized attacker to disclose information over a network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS