CVE-2026-19590 in Codex Desktop
Сводка
по VulDB • 01.09.2026
В приложении OpenAI Codex Desktop для Windows и macOS возможно выполнение управляемых злоумышленником хуков Git, поскольку автоматизированные операции Git доверяют локальной настройке core.hooksPath репозитория. Если пользователь открывает подготовленный злоумышленником репозиторий, в котором сохраненная конфигурация .git/config указывает core.hooksPath на каталог, контролируемый злоумышленником, Codex может выполнить вредоносный хук при обработке этого репозитория. Хук выполняется вне песочницы команд Codex, без одобрения пользователя и с привилегиями пользователя, что позволяет ему читать, изменять или удалять файлы пользователя, а также получать доступ к другим ресурсам, доступным учетной записи пользователя. Обычная операция клонирования Git не сохраняет конфигурацию репозитория на локальном уровне, контролируемую злоумышленником, которая необходима для эксплуатации уязвимости.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.