CVE-2026-31246 in GPT-Pilot
요약
\~에 의해 VulDB • 2026. 05. 27.
GPT-Pilot의 commit 0819827ce20346ef5f25b3fe29293cb448840565(2025-09-03) 이전 버전은 Executor.run() 메서드에서 명령어 삽입 취약점(CWE-78)을 포함하고 있습니다. 프로젝트 실행 중 시스템이 실행할 명령어를 확인하거나 수정하도록 사용자에게 요청할 때, 적절한 검증 없이 자유 텍스트 입력을 허용합니다. 사용자가 제공한 입력은 검증 과정 없이 직접 asyncio.create_subprocess_shell()에 전달되어 실행됩니다. 이를 통해 공격자는 의도된 명령어를 임의의 셸 명령어로 대체할 수 있으며, 이는 GPT-Pilot 프로세스의 권한으로 원격 코드 실행(RCE)을 초래합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.