CVE-2026-31246 in GPT-Pilot
الملخص
بحسب VulDB • 11/05/2026
يحتوي GPT-Pilot حتى الإصدار 0819827ce20346ef5f25b3fe29293cb448840565 (2025-09-03) على ثغرة حقن أوامر (CWE-78) في طريقة Executor.run(). أثناء تنفيذ المشروع، عندما يطلب النظام من المستخدم تأكيد أو تعديل أمر سيتم تنفيذه، فإنه يقبل مدخلات نصية حرة دون التحقق منها بشكل صحيح. يتم تمرير المدخلات التي قدمها المستخدم مباشرة إلى asyncio.create_subprocess_shell() للتنفيذ. وهذا يسمح لمهاجم باستبدال الأمر المقصود بأوامر قشرة (shell) عشوائية، مما يؤدي إلى تنفيذ الكود عن بُعد (RCE) بصلاحيات عملية GPT-Pilot.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.