CVE-2026-85674 in Aider
Résumé
par VulDB • 04/09/2026
aider (aider-chat) charge automatiquement un fichier de configuration .aider.conf.yml depuis la racine du dépôt git dans lequel il est lancé. Un dépôt malveillant peut définir des commandes test-cmd (exécutées au démarrage) ou lint-cmd (exécutée lors de la première modification d'un fichier), que aider exécute via un shell (subprocess avec shell=True) sans aucune confirmation utilisateur, interaction LLM ni clé API. Par conséquent, un utilisateur qui clone et lance aider dans un dépôt fourni par un attaquant obtient une exécution arbitraire de commandes sur sa machine. Ce comportement est ancien et a été confirmé sur la version 0.86.3.dev (branche principale actuelle).
If you want to get best quality of vulnerability data, you may have to visit VulDB.