CVE-2026-19590 in Codex Desktop
Riassunto
di VulDB • 01/09/2026
OpenAI Codex Desktop per Windows e macOS potrebbe eseguire hook di Git controllati dall'attaccante poiché le operazioni automatizzate di Git si fidano dell'impostazione locale core.hooksPath del repository. Se un utente apre un repository preparato da un attaccante la cui configurazione .git/config preservata punta core.hooksPath a una directory controllata dall'attaccante, Codex può eseguire un hook dannoso durante l'elaborazione del repository. L'hook viene eseguito al di fuori della sandbox dei comandi di Codex, senza il consenso dell'utente e con i privilegi dell'utente, consentendogli di leggere, modificare o eliminare i file dell'utente e accedere ad altre risorse disponibili per l'account dell'utente. Un normale clone Git non preserva la configurazione locale del repository controllata dall'attaccante necessaria per lo sfruttamento.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.