CVE-2026-75859
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
CodeWhale przed wersją 0.8.64 nie waliduje ścieżek plików w polu instructions konfiguracji projektu, co pozwala atakującym na odczyt dowolnych plików na systemie ofiary. Złośliwy plik .codewhale/config.toml w sklonowanym repozytorium może wskazywać ścieżki poza obszarem roboczym, które są odczytywane i wstrzykiwane do promptu systemowego AI w celu eksfiltracji.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych plików na maszynie użytkownika, takich jak klucze, hasła czy dane konfiguracyjne, co może prowadzić do naruszenia poufności i dalszych ataków.
Rekomendacja
Zaktualizuj CodeWhale do wersji 0.8.64 lub nowszej, która zawiera poprawkę walidacji ścieżek plików. Zachowaj ostrożność przy otwieraniu repozytoriów z nieznanych źródeł.
Oryginalny opis (angielski, źródło NVD)
CodeWhale versions before 0.8.64 fail to validate file paths in the project config instructions field, allowing attackers to read arbitrary files on the victim's system. A malicious .codewhale/config.toml file in a cloned repository can specify paths outside the workspace that are read and injected into the AI system prompt for exfiltration.