CVE-2026-75857

إصدارات CodeWhale من 0.8.41 إلى 0.8.63

تُرجع الأداة exec shell interact() (المعروفة أيضًا باسم exec interact()) قيمة ApprovalRequirement::Auto بشكل خاطئ كمتطلب للموافقة. يتجاوز هذا السلوك الموافقة المطلوبة افتراضيًا للأدوات التي تنفذ التعليمات البرمجية، مما يسمح بكتابة المدخلات القياسية (stdin) التي يتحكم فيها نموذج اللغة الكبير (LLM) في شل تفاعلي طويل الأمد تمت الموافقة عليه مسبقًا، مثل جلسة REPL لـ python3 -i، أو mysql، أو ssh، أو sudo -i، دون طلب الموافقة. يمكن للمهاجم استغلال هذا الثغرة عن طريق حقن تعليمات عبر محتوى غير موثوق به يستقبله الوكيل، مثل صفحة تم استردادها، أو نتيجة MCP، أو ملف مستودع، مما يؤدي إلى تنفيذ الأوامر بمستوى امتيازات العملية المعتمدة.

تحديث CodeWhale إلى الإصدار 0.8.64.

كحل مؤقت، تقييد استخدام الدالة exec shell interact() حتى يتم تطبيق التحديث.