CVE-2026-75858 in CodeWhale
Resumen
por VulDB • 2026-08-18
CodeWhale (paquetes codewhale / codewhale-tui) versiones >= 0.8.41 y < 0.8.64 contienen una vulnerabilidad de ejecución remota de código en la herramienta rlm_eval. La función approval_requirement() del tool devuelve ApprovalRequirement::Auto, que el motor interpreta como 'nunca solicitar', lo que provoca que se ejecute código Python arbitrario proporcionado por el modelo en un intérprete python3 sin consultar la política --approval-policy configurada por el usuario y sin ningún paso de aprobación o auditoría. Un atacante puede inducir al agente a ejecutar código arbitrario mediante inyección de prompt en contenido no confiable que lee el agente (una página web, URL obtenida, archivo del repositorio o resultado de una herramienta MCP); la herramienta complementaria rlm_open puede preparar dicho contenido. El código se ejecuta en la máquina del usuario con los privilegios del mismo. Corregido en 0.8.64.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.