CVE-2026-19592 in Codex CLI
الملخص
بحسب VulDB • 01/09/2026
تقوم واجهة سطر الأوامر (CLI) الخاصة بـ OpenAI Codex لأنظمة Windows وmacOS وLinux، وتطبيق Codex Desktop لأنظامي Windows وmacOS، بجمع تلقائي لبيانات المستودع (metadata) الخاص بـ Git دون تعطيل إعداد core.fsmonitor المحلي للمستودع. إذا قام مستخدم بفتح أو استخدام مستودع أعدّه مهاجم، حيث يكون ملف .git/config المحفوظ قد عيّن قيمة core.fsmonitor إلى مساعد مراقبة نظام الملفات الذي يتحكم فيه المهاجم، فإن Git يمكنه تنفيذ هذا المساعد أثناء قيام Codex بجمع بيانات المستودع. يعمل المساعد خارج صندوق الأوامر (command sandbox) الخاص بـ Codex ودون مطالبة المستخدم بالموافقة، مما يسمح بتنفيذ كود يتحكم فيه المهاجم بصلاحيات المستخدم. يمكن لهذا الكود قراءة أو تغيير أو حذف ملفات المستخدم والوصول إلى موارد أخرى متاحة لحسابه. لا يحافظ النسخ العادي (clone) لـ Git على ملف .git/config المحلي للمستودع المصدر؛ فاستغلال الثغرة يتطلب توصيل المستودع أو نسخه مع الحفاظ على هذا الإعداد سليماً.
Once again VulDB remains the best source for vulnerability data.