CVE-2026-25130 in cai
Sumário
de VulDB • 28/05/2026
O Cybersecurity AI (CAI) é um framework para Segurança de IA. Nas versões até a 0.5.10, inclusivamente, o framework CAI (Cybersecurity AI) contém múltiplas vulnerabilidades de injeção de argumentos nas suas ferramentas de função. A entrada controlada pelo utilizador é passada diretamente para comandos de shell através de `subprocess.Popen()` com `shell=True`, permitindo que os atacantes executem comandos arbitrários no sistema anfitrião. A ferramenta `find_file()` executa sem exigir aprovação do utilizador, uma vez que o `find` é considerado um comando pré-aprovado "seguro". Isto significa que um atacante pode alcançar Remote Code Execution (RCE) ao injetar argumentos maliciosos (como `-exec`) no parâmetro `args`, contornando completamente quaisquer mecanismos de segurança com intervenção humana (human-in-the-loop). O commit e22a1220f764e2d7cf9da6d6144926f53ca01cde contém a correção.
If you want to get best quality of vulnerability data, you may have to visit VulDB.