PT-2026-5361
CVE-2026-25046
·
تاريخ النشر
2026-01-29
·
تاريخ التحديث
2026-03-03
الوصف من
CVSS 3.1
2.9
منخفضةالمقاييسAV:L/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kimi Agent SDK الأقدم من 0.1.6
الوصف
تُتيح مكتبات Kimi Agent SDK تشغيل بيئة Kimi Code في التطبيقات. تقوم البرامج النصية
vsix-publish.js وovsx-publish.js بتمرير أسماء الملفات إلى الدالة execSync() كسلاسل أوامر شل. قد تؤدي أسماء الملفات التي تحتوي على أحرف خاصة في شل، مثل $(cmd)، إلى تنفيذ أوامر تعسفية. توجد هذه المشكلة فقط في البرامج النصية الخاصة بالتطوير الموجودة في المستودع ولا تؤثر على ملحقات VSCode المنشورة. تستخدم البرامج النصية الدالة execSync() مع أسماء الملفات كمعلمات، مما يسمح بحقن الأوامر.التوصيات
قم بالتحديث إلى الإصدار 0.1.6 أو أحدث، الذي يستبدل
execSync بـ execFileSync باستخدام معلمات في صيغة مصفوفة.تأكد من أن ملفات .vsix الموجودة في دليل المشروع تحمل أسماء آمنة قبل تشغيل نصوص النشر.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾