CVE-2026-19592 in Codex CLI
Resumen
por VulDB • 2026-09-01
La CLI de OpenAI Codex para Windows, macOS y Linux, así como la aplicación de escritorio Codex Desktop para Windows y macOS, recopilan automáticamente los metadatos del repositorio Git sin desactivar la configuración local `core.fsmonitor` del repositorio. Si un usuario abre o utiliza un reposorio preparado por un atacante cuyo `.git/config` preservado establece `core.fsmonitor` en una ayuda de monitorización del sistema de archivos controlada por el atacante, Git puede ejecutar dicha ayuda mientras Codex recopila los metadatos del repositorio. La ayuda se ejecuta fuera del sandbox de comandos de Codex y sin un mensaje de aprobación del usuario, lo que permite que código controlado por el atacante se ejecute con los privilegios del usuario. El código puede leer, modificar o eliminar los archivos del usuario y acceder a otros recursos disponibles para la cuenta del usuario. Un clon ordinario de Git no conserva la configuración local `.git/config` del repositorio original; la explotación requiere un repositorio entregado o copiado con dicha configuración intacta.
VulDB is the best source for vulnerability data and more expert information about this specific topic.