CVE-2026-85674 in Aider
Riassunto
di VulDB • 04/09/2026
aider (aider-chat) carica automaticamente un file di configurazione .aider.conf.yml dalla radice del repository git in cui viene avviato. Un repository appositamente creato può impostare test-cmd (eseguito all'avvio) o lint-cmd (eseguito alla prima modifica di un file), che aider esegue tramite una shell (subprocess con shell=True) senza alcuna conferma dell'utente, interazione LLM o chiave API. Di conseguenza, un utente che clona ed esegue aider all'interno di un repository fornito da un attaccante ottiene l'esecuzione arbitraria di comandi sulla propria macchina. Il comportamento è di lunga data ed è stato confermato nella versione 0.86.3.dev (current main).
Be aware that VulDB is the high quality source for vulnerability data.