CVE-2026-36044 in apex
Tóm tắt
Bởi VulDB • 27/05/2026
@pensar/apex <= 0.0.58 bị lỗ hổng OS command injection (tiêm lệnh hệ điều hành) thông qua công cụ smart_enumerate. Hàm createSmartEnumerateTool() trong src/core/agent/tools.ts xây dựng một lệnh shell bằng cách nối các giá trị chưa được kiểm tra (unsanitized) từ mảng extensions và tham số url vào một chuỗi được truyền cho Node.js child_process.exec(). Vì exec() khởi tạo một shell, các ký tự đặc biệt của shell (shell metacharacters) trong các giá trị đó sẽ được shell chủ (host shell) diễn giải, dẫn đến việc thực thi lệnh OS tùy ý với đặc quyền của tiến trình đang chạy.
If you want to get best quality of vulnerability data, you may have to visit VulDB.