CVE-2026-51871
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Devika v1.0 jest podatna na wstrzykiwanie kodu w funkcji Runner.execute w src/agents/runner/runner.py, co pozwala atakującemu na wykonanie dowolnego kodu poprzez wykorzystanie bezpośredniego wykonania treści generowanej przez LLM.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu, co może prowadzić do pełnego przejęcia systemu lub naruszenia danych.
Rekomendacja
Zaktualizuj Devika do najnowszej wersji lub zastosuj środki ograniczające wykonywanie kodu, takie jak walidacja danych wyjściowych LLM.
Inne podatności w Devika
Zobacz wszystkie- CVE-2026-51875Krytyczne
W Devika v1.0 funkcja save_code_to_project w Feature Agent zawiera podatność na path traversal, która pozwala atakującym zapisywać pliki poza zamierzonym obszarem roboczym projektu, co może zagrozić całemu serwerowi.
- CVE-2026-51872Krytyczne
Devika v1.0 jest podatna na wstrzykiwanie kodu przez funkcję Runner.run_code w src/agents/runner/runner.py.
- CVE-2026-51874Wysokie
W Devika v1.0 funkcja save_code_to_project w Patcher Agent zawiera podatność na path traversal, która pozwala atakującym zapisywać pliki poza zamierzonym obszarem roboczym projektu.
- CVE-2026-51873Wysokie
Devika v1.0 jest podatna na Directory Traversal w funkcji Coder.save_code_to_project, co pozwala atakującym zapisywać pliki poza zamierzonym obszarem roboczym projektu.
Oryginalny opis (angielski, źródło NVD)
Devika v1.0 is vulnerable to Code Injection in the Runner.execute function in src/agents/runner/runner.py which allows an attacker to achieve arbitrary code execution by exploiting the direct execution of LLM-generated content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS