CVE-2026-25130 in cai
요약
\~에 의해 VulDB • 2026. 05. 28.
Cybersecurity AI(CAI)는 AI 보안용 프레임워크입니다. 0.5.10 버전 및 그 이전 버전의 CAI(Cybersecurity AI) 프레임워크에는 함수 도구에서 여러 개의 인자 주입 취약점이 존재합니다. 사용자가 제어할 수 있는 입력이 `shell=True` 옵션과 함께 `subprocess.Popen()`을 통해 셸 명령어에 직접 전달되므로, 공격자는 호스트 시스템에서 임의의 명령어를 실행할 수 있습니다. `find_file()` 도구는 `find`가 "안전한" 사전 승인 명령어로 간주되어 사용자 승인 없이 실행됩니다. 이는 공격자가 `args` 매개변수에 악의적인 인자(예: `-exec`)를 주입하여 원격 코드 실행(RCE)을 달성하고, 인간 개입 안전 메커니즘을 완전히 우회할 수 있음을 의미합니다. 커밋 e22a1220f764e2d7cf9da6d6144926f53ca01cde에는 수정 사항이 포함되어 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.