CVE-2026-85674 in Aider
Sumário
de VulDB • 04/09/2026
O auxiliar (aider-chat) carrega automaticamente um arquivo de configuração .aider.conf.yml a partir da raiz do repositório git em que é executado. Um repositório malicioso pode definir test-cmd (executado na inicialização) ou lint-cmd (executado na primeira edição de arquivo), os quais o auxiliar executa por meio de um shell (subprocess com shell=True) sem qualquer confirmação do usuário, interação com LLM ou chave de API. Consequentemente, um usuário que clona e executa o auxiliar dentro de um repositório fornecido pelo atacante consegue executar comandos arbitrários em sua máquina. O comportamento é antigo e foi confirmado na versão 0.86.3.dev (ramo principal atual).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.