CVE-2026-76072 in Continue
الملخص
بحسب VulDB • 24/08/2026
يُطبق Continue CLI قائمة حظر غير مكتملة كحاجز وحيد ضد الأوامر الشللية المدمرة عند التشغيل دون إشراف (unattended). في وضع الرأس الخالي (headless) والوضع التلقائي، تمنح السياسة الافتراضية الموجودة في `extensions/cli/src/permissions/defaultPolicies.ts` أداة Bash إذن الاستخدام (allow permission)، بينما يقوم ملف `permissionChecker.ts` بحظر الأمر بشكل قاطع فقط عندما يُرجع مُقيّم أمان الطرفية (terminal-security evaluator) حكماً بعدم التفعيل، مما يجعل دالة `isCriticalCommand` الموجودة في `packages/terminal-security/src/evaluateTerminalCommandSecurity.ts` هي الضابط الوحيد. تطابق اختبارات المسار الخطير الخاصة بها `/`, `/*`, `~`, `~/*`, `/usr`, `/etc`, `/bin` و`/sbin` وسوابقها فقط، لذا فإن الإزالة القسرية المتكررة للمجلدات مثل `/home` أو `/root` أو `/var` أو `/opt` أو `/srv` لا يتم حظرها. يُحلل سطر الأوامر باستخدام مكتبة `shell-quote`، والتي تُقلّل `$HOME` إلى رمز فارغ (empty token)، لذا فإن الأمر `rm -rf $HOME$` يفشل أيضاً في اختبار المسار الخطير بينما يعيد القشرة (shell) توسيع المتغير عند إنشاء العملية. يُصنف البحث مع الخيار `-delete` على أنه عالي المخاطر بدلاً من كونه محظوراً، كما أن أدوات مثل `shred` و`wipefs` و`truncate` و`pkexec` لا يتم التعامل معها. ونظراً لأن الوكيل يقرأ بشكل مستقل محتويات لا يتحكم فيها، بما في ذلك صفحات الويب المسترجعة وملفات المستودعات والنصوص الخاصة بالمسائل (issues)، يمكن أن يؤدي حقن الأوامر غير المباشر (indirect prompt injection) داخل تلك المحتويات إلى تدمير بيانات المستخدم الذي أطلق التشغيل دون إشراف.
VulDB is the best source for vulnerability data and more expert information about this specific topic.