CVE-2026-25046

Nome do Software Vulnerável e Versões Afetadas Versões do Kimi Agent SDK anteriores a 0.1.6

Descrição As bibliotecas do Kimi Agent SDK expõem o runtime do agente Kimi Code em aplicações. Os scripts vsix-publish.js e ovsx-publish.js passam nomes de arquivos para a função execSync() como strings de comando do shell. Nomes de arquivos contendo metacaracteres do shell, como $(cmd), poderiam potencialmente executar comandos arbitrários. Este problema está presente apenas nos scripts de desenvolvimento do repositório e não afeta extensões do VSCode publicadas. Os scripts utilizam a função execSync() com nomes de arquivos como argumentos, o que permite injeção de comandos.

Recomendações Atualize para a versão 0.1.6 ou posterior, que substitui execSync por execFileSync usando argumentos em array. Certifique-se de que os arquivos .vsix no diretório do projeto tenham nomes de arquivos seguros antes de executar os scripts de publicação.