CVE-2026-66065

Nome do Software Vulnerável e Versões Afetadas Ouroboros versões anteriores a 0.42.1

Description Uma lista de negação (denylist) incompleta permite que um repositório clonado malicioso execute comandos arbitrários ao fornecer um arquivo .env que é carregado automaticamente durante a importação, sem etapa de revisão. Isso ocorre porque várias chaves de roteamento de execução foram omitidas da UNTRUSTED ENV DENYLIST. Especificamente, as raízes de config-home do backend e MCP/plugin podem ignorar o portão de aprovação ao redirecionar o agente aninhado, servidores MCP e a lista de plugins para uma configuração controlada por um invasor. Além disso, outras variáveis podem reativar transportes locais bloqueados, substituir prompts de sub-agentes, alterar backends e reduzir as classes de aprovação de ferramentas, enfraquecendo ainda mais o portão de aprovação.

Recommendations Atualizar para a versão 0.42.1.