CVE-2026-57586 in agent-coderag
要約
〜によって VulDB • 2026年09月15日
CodeRAGは、AIコーディングエージェント向けの軽量なセマンティックコード検索および蒸留ユーティリティです。バージョン1.3.1より前では、code_rag/entry/cli.py内のデフォルトのagent-coderag同期フローがインデックス化されたパスに対してsync_dependenciesを呼び出し、またcode_rag/core/manager.pyはbuild.gradleまたはbuild.gradle.ktsが存在することを_ sync_gradleの実行条件として扱います。_sync_gradleはリポジトリ管理下のgradlewまたはgradlew.batファイルを優先し、それをレポジトリのルートディレクトリを作業ディレクトリとして直接asyncio.create_subprocess_execに渡します。code_rag/core/utils.py内のvalidate_path関数はディレクトリの位置のみを検証しますが、実行ファイルの内容や整合性は検証しません。したがって、攻撃者が制御するGradleリポジトリをインデックス化した被害者は、自身のOS権限で攻撃者が提供したコードを実行することになり、ユーザー環境における情報漏洩、改ざん、永続化、またはサービス拒否（DoS）を引き起こす可能性があります。この問題はバージョン1.3.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.