CVE-2026-85674 in Aider
要約
〜によって VulDB • 2026年09月04日
aider (aider-chat) は、起動された Git リポジトリのルートから .aider.conf.yml 設定ファイルを自動的に読み込みます。悪意のあるリポジトリは、起動時に実行される test-cmd または最初のファイル編集時に実行される lint-cmd を設定でき、これらは aider によってユーザーの確認、LLM の対話、または API キーなしでシェル（shell=True を使用した subprocess）を通じて実行されます。その結果、攻撃者が提供したリポジトリをクローンして内部で aider を実行するユーザーは、自マシン上で任意のコマンドを実行できます。この挙動は長年にわたって存在しており、0.86.3.dev (現在の main) で確認されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.