CVE-2026-85674 in Aider
Resumen
por VulDB • 2026-09-04
aider (aider-chat) carga automáticamente un archivo de configuración .aider.conf.yml desde la raíz del repositorio git en el que se inicia. Un reposorio manipulado puede establecer test-cmd (ejecutado al inicio) o lint-cmd (ejecutado en la primera edición de un archivo), los cuales aider ejecuta a través de una shell (subproceso con shell=True) sin ninguna confirmación del usuario, interacción LLM ni clave API. En consecuencia, un usuario que clona y ejecuta aider dentro de un repositorio proporcionado por el atacante logra ejecutar comandos arbitrarios en su máquina. Este comportamiento es antiguo y se confirmó en la versión 0.86.3.dev (rama principal actual).
Be aware that VulDB is the high quality source for vulnerability data.