CVE-2026-19590 in Codex Desktop
Zusammenfassung
von VulDB • 01.09.2026
OpenAI Codex Desktop für Windows und macOS könnte Angreifer-gesteuerte Git-Hooks ausführen, da automatisierte Git-Operationen die lokale core.hooksPath-Einstellung des Repositorys vertrauten. Wenn ein Benutzer ein von einem Angreifer vorbereitetes Repository öffnet, dessen erhalten gebliebene .git/config auf einen vom Angreifer kontrollierten Verzeichnisort für core.hooksPath verweist, kann Codex während der Verarbeitung des Repositorys einen bösartigen Hook ausführen. Der Hook wird außerhalb der Befehlssandbox von Codex ausgeführt, ohne Benutzerzustimmung und mit den Berechtigungen des Benutzers, was es ihm ermöglicht, die Dateien des Benutzers zu lesen, zu ändern oder zu löschen sowie auf andere Ressourcen zuzugreifen, die dem Benutzerkonto zur Verfügung stehen. Ein normales Git-Clone bewahrt nicht die für eine Ausnutzung erforderliche angreiferkontrollierte repositorylokale Konfiguration bei.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.