PT-2026-50493
CVE-2026-54327
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-06-25
الوصف من
CVSS 3.1
2.2
منخفضةالمقاييسAV:L/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@mariozechner/pi-coding-agent من الإصدار 0.28.0 حتى 0.73.1
@earendil-works/pi-coding-agent من الإصدار 0.74.0 حتى 0.78.0
الوصف
تسمح حالة التنافس في مسار كتابة الملف الخاص بتنفيذ تخزين بيانات الاعتماد بإنشاء ملف
auth.json — الذي يخزن مفاتيح واجهة برمجة التطبيقات (API) ورموز الوصول والتحديث الخاصة بـ OAuth — أو إعادة كتابته باستخدام أذونات مستمدة من قناع الأمان (umask) الخاص بالعملية قبل تقييده بأذونات المالك فقط. يمكن للمستخدم المحلي الذي يتمتع بحق الوصول للقراءة والتنقل في دليل تكوين وكيل Pi قراءة الملف خلال الفترة الفاصلة بين كتابة الملف وتصحيح الأذونات. لا يمكن استغلال هذه المشكلة عن بُعد وتتطلب وصولاً محلياً إلى الجهاز.التوصيات
قم بتحديث @mariozechner/pi-coding-agent إلى @earendil-works/pi-coding-agent الإصدار 0.78.1 أو أحدث.
قم بتحديث @earendil-works/pi-coding-agent إلى الإصدار 0.78.1 أو أحدث.
قم بتغيير أي بيانات اعتماد قد تكون تعرضت للاختراق في الأنظمة متعددة المستخدمين حيث كان دليل التكوين قابلاً للقراءة من قبل مستخدمين محليين آخرين.
قم بتقييد دليل تكوين وكيل Pi على المالك فقط، واضبط ملف
auth.json على أذونات المالك فقط، وقم بتشغيل التطبيق باستخدام قناع umask تقييدي مثل 077 كحل مؤقت.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾