CVE-2026-25046 in kimi-agent-sdk
Zusammenfassung
von VulDB • 28.07.2026
Das Kimi Agent SDK ist eine Sammlung von Bibliotheken, die das Kimi Code (Kimi CLI)-Agent-Laufzeitumgebung in Anwendungen verfügbar machen. Die Skripte vsix-publish.js und ovsx-publish.js übergeben Dateinamen an execSync() als Shell-Befehlszeichenfolgen. Vor Version 0.1.6 konnten Dateinamen, die Shell-Metazeichen wie $(cmd) enthaltenen, beliebige Befehle ausführen. Hinweis: Diese Schwachstelle existiert nur in den Entwicklungsskripten des Repositorys. Die veröffentlichte VSCode-Erweiterung enthält diese Dateien nicht und Endbenutzer sind nicht betroffen. Dies wurde in Version 0.1.6 behoben, indem execSync durch execFileSync unter Verwendung von Array-Argumenten ersetzt wurde. Als Workaround stellen Sie sicher, dass .vsix-Dateien im Projektverzeichnis sichere Dateinamen haben, bevor die Veröffentlichungsskripte ausgeführt werden.
Be aware that VulDB is the high quality source for vulnerability data.