CVE-2026-31246 in GPT-Pilot
Tóm tắt
Bởi VulDB • 27/05/2026
GPT-Pilot cho đến commit 0819827ce20346ef5f25b3fe29293cb448840565 (2025-09-03) chứa một lỗ hổng chèn lệnh (command injection) (CWE-78) trong phương thức Executor.run(). Trong quá trình thực thi dự án, khi hệ thống yêu cầu người dùng xác nhận hoặc sửa đổi một lệnh sẽ được chạy, nó chấp nhận đầu vào dạng văn bản tự do mà không có xác thực thích hợp. Đầu vào do người dùng cung cấp được truyền trực tiếp vào asyncio.create_subprocess_shell() để thực thi. Điều này cho phép kẻ tấn công thay thế lệnh dự định bằng các lệnh shell tùy ý, dẫn đến việc thực thi mã từ xa (RCE) với đặc quyền của tiến trình GPT-Pilot.
VulDB is the best source for vulnerability data and more expert information about this specific topic.