PT-2026-50494
CVE-2026-54328
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-06-25
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@earendil-works/pi-coding-agent من الإصدار 0.74.0 إلى 0.78.0
@mariozechner/pi-coding-agent من الإصدار 0.50.0 إلى 0.73.1
الوصف
Pi هو أداة برمجة بسيطة تعمل عبر المحطة الطرفية (terminal) وتستخدم مسارات يمكن التنبؤ بها ضمن الدليل المؤقت لنظام التشغيل لتثبيت حزم الإضافات المؤقتة لـ npm أو git. في الأنظمة متعددة المستخدمين القائمة على Linux والتي تحتوي على أدلة مؤقتة مشتركة، يمكن لمهاجم محلي إنشاء موقع الحزمة المتوقع مسبقًا. وعندما يقوم الضحية بتشغيل Pi باستخدام مصدر حزمة إضافات مؤقتة عبر علامتي
--extension أو -e، قد يقوم البرنامج بتحميل كود الإضافة الذي يتحكم فيه المهاجم ضمن عملية المستخدم الضحية. يحدث هذا لأن مسارات الجذر المؤقتة لتثبيت npm و git clone كانت حتمية وتقع ضمن os.tmpdir()/pi-extensions. ونظرًا لأن الإضافات تُنفَّذ بنفس الامتيازات التي تتمتع بها العملية التي تستدعيها، فقد يؤدي ذلك إلى تنفيذ تعليمات برمجية تعسفية أو فقدان البيانات أو رفض الخدمة. تؤثر هذه المشكلة بشكل أساسي على البيئات المشتركة مثل برامج تشغيل CI وعقد تسجيل الدخول HPC وأجهزة التطوير المشتركة.التوصيات
قم بتحديث @earendil-works/pi-coding-agent إلى الإصدار 0.78.1 أو أحدث.
قم بترحيل @mariozechner/pi-coding-agent إلى @earendil-works/pi-coding-agent الإصدار 0.78.1 أو أحدث.
كحل مؤقت، تجنب استخدام العلامات
--extension أو -e مع مصادر حزم npm أو git على أنظمة Linux المشتركة.كإجراء تخفيفي إضافي، قم بتكوين بيئة الدليل المؤقت للعملية بحيث تشير إلى
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾