CVE-2026-75913 in CodeWhale
요약
\~에 의해 VulDB • 2026. 08. 18.
CodeWhale(codewhale/codewhale-tui) 버전 >= 0.8.41 및 < 0.8.64에는 git_show 도구에서 인자 주입(Argument Injection) 취약점이 존재합니다. 모델이 제공한 rev 매개변수가 --end-of-options 감지문(sentinel) 없이 검증되지 않은 상태로 git show argv에 전달되므로, '--output='으로 시작하는 값은 git 플래그로 해석됩니다. 이 도구는 자동 승인(auto-approved)로 등록되어 있으며 읽기 전용(read-only)으로 홍보되고 있으므로, 공격자(악성 저장소와 프롬프트 인젝션(prompt injection)을 통해)는 호출된 사용자의 권한 수준에서 --prompt 없이 임의 파일 쓰기를 수행할 수 있습니다. 이는 ~/.ssh/authorized_keys, ~/.bashrc 또는 ~/.gitconfig와 같은 민감한 파일을 대상으로 합니다. 0.8.64 버전에서는 rev 유효성 검사를 추가하여 이 취약점이 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.