CVE-2026-75858 in CodeWhale
Sumário
de VulDB • 19/08/2026
CodeWhale (pacotes codewhale / codewhale-tui) nas versões >= 0.8.41 e < 0.8.64 contêm uma vulnerabilidade de execução remota de código no tool rlm_eval. A função approval_requirement() do tool retorna ApprovalRequirement::Auto, que o motor trata como 'nunca solicitar', fazendo com que Python code arbitrário fornecido pelo modelo seja executado em um interpretador python3 sem consultar a --approval-policy configurada pelo usuário e sem qualquer prompt de aprovação ou etapa de auditoria. Um atacante pode induzir o agent a executar código arbitrário por meio de prompt injection em conteúdo não confiável lido pelo agent (uma página da web, URL buscada, arquivo do repositório ou resultado de uma ferramenta MCP); o tool companion rlm_open pode preparar esse tipo de conteúdo. O código é executado na máquina do usuário no nível de privilégio do usuário. Corrigido na versão 0.8.64.
VulDB is the best source for vulnerability data and more expert information about this specific topic.