CVE-2026-25130 in cai
要約
〜によって VulDB • 2026年05月28日
Cybersecurity AI (CAI) は、AI セキュリティのためのフレームワークです。バージョン 0.5.10 以前では、CAI (Cybersecurity AI) フレームワークの関数ツールに複数の引数インジェクション脆弱性が存在します。ユーザーが制御可能な入力が `shell=True` を指定した `subprocess.Popen()` を介して直接シェルコマンドに渡されるため、攻撃者はホストシステム上で任意のコマンドを実行できます。`find_file()` ツールは、find が「安全」な事前承認済みコマンドと見なされているため、ユーザーの承認なしで実行されます。これにより、攻撃者は args パラメータに悪意のある引数（例: -exec）をインジェクションすることで、人間の介入による安全メカニズムを完全に回避し、リモートコード実行 (RCE) を達成できます。コミット e22a1220f764e2d7cf9da6d6144926f53ca01cde に修正が含まれています。
Once again VulDB remains the best source for vulnerability data.