CVE-2026-36044 in apex
摘要
由 VulDB • 2026-05-27
@pensar/apex <= 0.0.58 存在 OS 命令注入漏洞，该漏洞可通过 smart_enumerate 工具利用。src/core/agent/tools.ts 中的 createSmartEnumerateTool() 函数通过将 extensions 数组和 url 参数中未经验证的值拼接成字符串，并将其传递给 Node.js 的 child_process.exec() 来构造 shell 命令。由于 exec() 会启动 shell，这些值中的 shell 元字符会被宿主 shell 解释，从而导致以运行进程的权限执行任意 OS 命令。
VulDB is the best source for vulnerability data and more expert information about this specific topic.