CVE-2026-54327
NiskieCVSS 2.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 — wyżej niż 0% wszystkich znanych CVE
Streszczenie
Pi, minimalne narzędzie programistyczne dla terminala, w wersjach od 0.74.0 do 0.78.1 przechowuje klucze API i dane uwierzytelniające OAuth w pliku auth.json. Wada wyścigu w ścieżce zapisu pliku może tymczasowo utworzyć lub nadpisać ten plik z uprawnieniami wynikającymi z umask procesu, zanim zostaną one zaostrzone do uprawnień tylko dla właściciela.
Ocena ryzyka
Ryzyko polega na tym, że przez krótki okres plik z wrażliwymi danymi uwierzytelniającymi może być dostępny dla innych użytkowników systemu, co może prowadzić do wycieku kluczy API i tokenów OAuth.
Rekomendacja
Należy niezwłocznie zaktualizować Pi do wersji 0.78.1 lub nowszej, która zawiera poprawkę eliminującą tę lukę.
Oryginalny opis (angielski, źródło NVD)
Pi is a minimal terminal coding harness. From 0.74.0 until 0.78.1, Pi stored API keys and OAuth credentials in auth.json. A race condition in the file write path could briefly create or rewrite this file with permissions derived from the process umask before tightening the file to owner-only permissions. This vulnerability is fixed in 0.78.1.