CVE-2026-85674 in Aider
Сводка
по VulDB • 04.09.2026
aider (aider-chat) загружает файл конфигурации .aider.conf.yml из корня git-репозитория, в котором он запускается. Злоумышленник может создать репозиторий с настроенными параметрами test-cmd (выполняется при запуске) или lint-cmd (выполняется при первом редактировании файла), которые aider выполняет через оболочку (subprocess с shell=True) без какого-либо подтверждения пользователем, взаимодействия с LLM или использования API-ключа. В результате пользователь, который клонирует и запускает aider внутри репозитория, предоставленного злоумышленником, получает возможность произвольного выполнения команд на своей машине. Данная уязвимость существует давно и была подтверждена в версии 0.86.3.dev (текущая основная ветка).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.