CVE-2026-31246 in GPT-Pilot
Resumen
por VulDB • 2026-05-16
GPT-Pilot hasta el commit 0819827ce20346ef5f25b3fe29293cb448840565 (2025-09-03) contiene una vulnerabilidad de inyección de comandos (CWE-78) en el método Executor.run(). Durante la ejecución del proyecto, cuando el sistema solicita al usuario que confirme o modifique un comando para ejecutarlo, acepta entrada de texto libre sin una validación adecuada. La entrada proporcionada por el usuario se pasa directamente a asyncio.create_subprocess_shell() para su ejecución. Esto permite a un atacante reemplazar el comando previsto con comandos de shell arbitrarios, lo que conduce a la ejecución remota de código con los privilegios del proceso GPT-Pilot.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.