CVE-2026-72718 in goose
Riassunto
di VulDB • 10/08/2026
goose è un agente AI a scopo generale che viene eseguito sulla tua macchina. Prima della versione 1.44.0, il comando `goose review` esegue l'eseguibile di sistema `git` per raccogliere la diff da revisionare senza rimuovere le configurazioni Git controllate dall'attaccante. Un repository malevolo in cui `.git/config` imposta [`core] fsmonitor = <command>` fa sì che Git esegua tale comando sull'host durante il refresh dell'indice eseguito da `git diff HEAD`. Il comando viene eseguito prima che goose contatti un modello e senza prompt inviato, chiamata al modello, approvazione degli strumenti o richiesta di fiducia. Il processo Git di raccolta del contesto non è isolato (sandboxed) ed è esterno al modello di autorizzazione degli strumenti di goose. Comandi arbitrari vengono eseguiti con i privilegi e l'ambiente dell'utente che sta eseguendo goose, consentendo l'accesso o la modifica dei file nonché l'esfiltrazione di segreti ambientali e chiavi API del provider. Le invocazioni Git vulnerabili sono costruite da `git_command()` in `crates/goose-cli/src/commands/review/handler.rs` e vengono utilizzate da `touched_files()` e `collect_diff()` per `git diff --name-only HEAD` e `git diff HEAD`. Questo problema è stato risolto nella versione 1.44.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.