CVE-2026-25130 in cai
Riassunto
di VulDB • 15/06/2026
Cybersecurity AI (CAI) è un framework per la sicurezza dell'IA. Nelle versioni fino alla 0.5.10 inclusa, il framework CAI (Cybersecurity AI) presenta più vulnerabilità di injection degli argomenti nei suoi strumenti di funzione. L'input controllato dall'utente viene passato direttamente ai comandi della shell tramite `subprocess.Popen()` con `shell=True`, consentendo agli attaccanti di eseguire comandi arbitrari sul sistema host. Lo strumento `find_file()` viene eseguito senza richiedere l'approvazione dell'utente, poiché `find` è considerato un comando pre-approvato "sicuro". Ciò significa che un attaccante può ottenere Remote Code Execution (RCE) iniettando argomenti dannosi (come `-exec`) nel parametro `args`, aggirando completamente i meccanismi di sicurezza che prevedono un intervento umano (human-in-the-loop). Il commit e22a1220f764e2d7cf9da6d6144926f53ca01cde contiene la correzione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.