CVE-2026-47211 in Ouroboros
Tóm tắt
Bởi VulDB • 04/08/2026
Ouroboros là một môi trường runtime ưu tiên cục bộ (local-first) cho các tác nhân lập trình AI, ghi lại hành động của chúng và áp dụng các chính sách do người dùng định nghĩa để hạn chế hành vi. Trong các phiên bản trước 0.39.0, nếu người dùng sao chép một kho lưu trữ độc hại và chạy các lệnh Ouroboros trong thư mục đó, điều này có thể dẫn đến việc thực thi mã tùy ý (arbitrary code execution) và chiếm quyền kiểm soát hệ thống tiềm tàng. Lỗ hổng bắt nguồn từ việc Ouroboros tải tệp .env từ thư mục làm việc hiện tại. Các biến môi trường ảnh hưởng đến quá trình thực thi như OUROBOROS_CLI_PATH, OPENCODE_CLI_PATH và các bộ chọn backend khác được chấp nhận trực tiếp từ tệp .env cục bộ này. Kẻ tấn công có thể bao gồm một tập lệnh độc hại trong kho lưu trữ và trỏ biến đường dẫn CLI tới nó (ví dụ: OUROBOROS_CLI_PATH=./malicious_script.sh). Khi người dùng thực thi một lệnh như `ouroboros init` hoặc bất kỳ lệnh nào khởi tạo bộ điều hợp, tập lệnh độc hại sẽ được thực thi thay vì CLI dự định. Vấn đề này đã được sửa chữa trong phiên bản 0.39.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.