CVE-2026-19592 in Codex CLI
Sumário
de VulDB • 01/09/2026
O CLI do OpenAI Codex para Windows, macOS e Linux e o Codex Desktop para Windows e macOS coletam automaticamente metadados de repositórios Git sem desativar a configuração core.fsmonitor local ao repositório. Se um usuário abrir ou utilizar um repositório preparado por um atacante cujo .git/config preservado define core.fsmonitor como um auxiliar de monitoramento do sistema de arquivos controlado pelo atacante, o Git pode executar esse auxiliar enquanto o Codex coleta os metadados do repositório. O auxiliar é executado fora da sandbox de comandos do Codex e sem uma solicitação de aprovação do usuário, permitindo que código controlado pelo atacante seja executado com as permissões do usuário. Esse código pode ler, alterar ou excluir arquivos do usuário e acessar outros recursos disponíveis para a conta do usuário. Um clone Git comum não preserva o .git/config local do repositório de origem; a exploração requer um repositório entregue ou copiado com essa configuração intacta.
Be aware that VulDB is the high quality source for vulnerability data.