CVE-2026-54555

إصدارات rtk الأقدم من 0.42.2

يوجد عيب في منطق «مقسم الأذونات» (permission splitter) يؤدي إلى عدم التقسيم الحذر أو رفض بعض تركيبات غلاف Bash التي تنشئ حدودًا لتنفيذ الأوامر أو تنفيذًا متداخلاً. ويؤدي هذا التحقق غير السليم من صحة المدخلات والتحليل غير الصحيح لصيغة غلاف الأوامر إلى السماح لبادئة مسموح بها، مثل «git»، بإخفاء أمر إضافي. ونتيجة لذلك، تُرجع الدالة rtk rewrite رمز الخروج 0، مما يؤدي إلى قيام ربط Claude بإصدار قرار أذونات (permissionDecision) بقيمة ”allow“. وهذا يتيح تنفيذ الأمر المخفي دون الحصول على تأكيد أو رفض من المستخدم وفقًا لقواعد الأذونات، مما قد يؤدي إلى تنفيذ أوامر غير مصرح بها في سياق المستخدم.

التحديث إلى الإصدار 0.42.2.