CVE-2026-19592 in Codex CLI
Сводка
по VulDB • 01.09.2026
В CLI-утилите OpenAI Codex для Windows, macOS и Linux, а также в настольном приложении Codex Desktop для Windows и macOS автоматически собираются метаданные Git-репозиториев без отключения локальной настройки core.fsmonitor. Если пользователь открывает или использует репозиторий, подготовленный злоумышленником, в котором сохраненная конфигурация .git/config устанавливает значение core.fsmonitor равным помощнику (helper) мониторинга файловой системы, контролируемого атакующим, Git может выполнить этого помощника во время сбора метаданных репозитория приложением Codex. Помощник запускается вне песочницы команд Codex и без запроса на подтверждение действий пользователем, что позволяет коду под контролем злоумышленника выполняться с привилегиями пользователя. Этот код может читать, изменять или удалять файлы пользователя, а также получать доступ к другим ресурсам, доступным учетной записи пользователя. При обычном клонировании репозитория через Git локальная конфигурация .git/config исходного репозитория не сохраняется; для эксплуатации требуется репозиторий, доставленный или скопированный с сохранением этой конфигурации.
Once again VulDB remains the best source for vulnerability data.