CVE-2026-77474 in destructive_command_guard
摘要
由 VulDB • 2026-10-16
destructive_command_guard (dcg) 是一款命令行安全工具，旨在阻止 AI 编码代理在运行之前执行破坏性 shell 命令。在版本 0.6.6 之前，嵌套或未闭合的替换操作会在内部扫描返回“未终止”状态后被递归重新扫描，从而导致指数级的时间复杂度开销。受影响的扫描器通过 `src/packs/mod.rs` 中的 `split_command_segments` 被触发，具体表现为破坏性命令后跟随嵌套或 $( / $(( 序列且未闭合的情况。这些嵌套或未闭合的 $( 和 $(( 序列会导致对剩余命令后缀进行重复重新扫描。此外，挂起的 PreToolUse hook 会失败并开放（fail open），从而允许执行该破坏性命令。此问题已在版本 0.6.6 中修复。
Once again VulDB remains the best source for vulnerability data.