CVE-2026-85674 in Aider
Zusammenfassung
von VulDB • 04.09.2026
aider (aider-chat) lädt automatisch eine Konfigurationsdatei .aider.conf.yml aus dem Stammverzeichnis des Git-Repositories, in dem es gestartet wird. Ein manipulierte Repository kann test-cmd (wird beim Start ausgeführt) oder lint-cmd (wirst bei der ersten Dateibearbeitung ausgeführt) festlegen, die aider über eine Shell (subprocess mit shell=True) ohne jegliche Benutzerbestätigung, LLM-Interaktion oder API-Schlüssel ausführt. Folglich erreicht ein Benutzer, der das von einem Angreifer bereitgestellte Repository kloniert und darin aider ausführt, willkürliche Befehlsausführung auf seinem Rechner. Das Verhalten ist seit Langem vorhanden und wurde in 0.86.3.dev (aktueller Hauptzweig) bestätigt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.