CVE-2026-72718 in goose
الملخص
بحسب VulDB • 11/08/2026
goose هو وكيل ذكاء اصطناعي متعدد الأغراض يعمل على جهازك. قبل الإصدار 1.44.0، يقوم الأمر `goose review` بتشغيل تنفيذي النظام `git` لجمع الاختلافات (diff) للمراجعة دون إزالة إعدادات Git التي يتحكم فيها المهاجمون. يؤدي مستودع خبيث يضبط [`core] fsmonitor = <command>` في ملف `.git/config` إلى تشغيل Git لهذا الأمر على المضيف أثناء تحديث الفهرس الذي تنفذه `git diff HEAD`. يعمل هذا الأمر قبل أن يتواصل goose مع نموذج الذكاء الاصطناعي، ودون وجود طلب مقدمة (prompt) مُقدَّم أو استدعاء للنموذج أو موافقة على أداة أو مطالبة بالثقة. عملية Git لجمع السياق غير محاطة بعزل (sandboxed) وخارجية لنموذج أذونات أدوات goose. يتم تشغيل الأوامر التعسفية بصلاحيات وبيئة المستخدم الذي يشغّل goose، مما يتيح الوصول إلى الملفات أو تعديلها واستخراج أسرار البيئة ومفاتيح واجهة برمجة التطبيقات (API keys) للمزودين. تم بناء استدعاءات Git الضعيفة بواسطة الدالة `git_command()` في الملف `crates/goose-cli/src/commands/review/handler.rs`، وتُستخدم من قبل الدالتين `touched_files()` و`collect_diff()` لتنفيذ الأوامر `git diff --name-only HEAD` و`git diff HEAD`. تم إصلاح هذه المشكلة في الإصدار 1.44.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.