CVE-2026-75912
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
CodeWhale przed wersją 0.8.64 zawiera podatność na wstrzykiwanie argumentów w narzędziu git_blame, która pozwala atakującym czytać dowolne pliki poprzez wstrzyknięcie opcji git do niezweryfikowanego parametru rev. Atakujący może podać wartości rev takie jak --contents=/path/to/file, aby wyeksfiltrować wrażliwe pliki, takie jak klucze SSH i poświadczenia.
Ocena ryzyka
Możliwość odczytu dowolnych plików może prowadzić do kradzieży danych uwierzytelniających i kluczy prywatnych, co umożliwia nieautoryzowany dostęp do systemów.
Rekomendacja
Zaktualizuj CodeWhale do wersji 0.8.64 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
CodeWhale versions before 0.8.64 contain an argument injection vulnerability in the git_blame tool that allows attackers to read arbitrary files by injecting git options into the unvalidated rev parameter. Attackers can supply rev values like --contents=/path/to/file to exfiltrate sensitive files such as SSH keys and credentials through the tool output returned to the model.