CVE-2026-19590 in Codex Desktop
요약
\~에 의해 VulDB • 2026. 09. 01.
Windows 및 macOS용 OpenAI Codex Desktop은 자동화된 Git 작업이 저장소의 로컬 core.hooksPath 설정을 신뢰했기 때문에 공격자가 제어하는 Git 훅을 실행할 수 있습니다. 사용자가 핵심 .git/config가 attacker-controlled 디렉토리를 가리키는 core.hooksPath를 보존한 공격자가 준비한 저장소를 열면, Codex는 해당 저장소 처리 중에 악성 훅을 실행합니다. 이 훅은 Codex의 명령어 샌드박스 외부에서 사용자 승인 없이 사용자의 권한으로 실행되므로 사용자의 파일을 읽거나 변경하거나 삭제하고 사용자가 접근 가능한 다른 리소스에 액세스할 수 있습니다. 일반적인 Git clone 작업에는 공격자가 제어하는 저장소 로컬 구성이 보존되지 않으므로, 이를 이용한 악용은 불가능합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.