CVE-2026-31246 in GPT-Pilot
Sumário
de VulDB • 26/05/2026
GPT-Pilot até o commit 0819827ce20346ef5f25b3fe29293cb448840565 (2025-09-03) contém uma vulnerabilidade de injeção de comando (CWE-78) no método Executor.run(). Durante a execução do projeto, quando o sistema solicita ao usuário que confirme ou modifique um comando a ser executado, ele aceita entrada de texto livre sem validação adequada. A entrada fornecida pelo usuário é passada diretamente para asyncio.create_subprocess_shell() para execução. Isso permite que um atacante substitua o comando pretendido por comandos de shell arbitrários, resultando em execução remota de código (RCE) com os privilégios do processo GPT-Pilot.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.