CVE-2026-45311

إصدارات CodeWhale من 0.3.0 إلى 0.8.22

تقوم أداة run tests بتنفيذ cargo test في مساحة العمل باستخدام ApprovalRequirement::Auto، مما يسمح لها بالتشغيل دون موافقة المستخدم. ونظرًا لأن cargo test تقوم بتجميع وتنفيذ تعليمات برمجية عشوائية — بما في ذلك ملفات الاختبار الثنائية، ونصوص البناء build.rs، وماكروات proc — فإن المستودع الخبيث يمكنه تنفيذ أوامر shell عشوائية، أو سرقة بيانات الاعتماد، أو إرساء استمرارية. ويزداد هذا الخطر بسبب ملف AGENTS.md، الذي يتم تحميله تلقائيًا في موجه النظام ويمكن استخدامه لتوجيه النموذج لتشغيل الاختبارات بشكل استباقي عند بدء الجلسة.

قم بالتحديث إلى الإصدار 0.8.23.

كحل مؤقت، قم بتقييد استخدام أداة run tests عند العمل مع مستودعات غير موثوق بها.