CVE-2026-36045
HighCVSS 7.3Summary
Picoclaw w wersji 0.1.2 i wcześniejszych jest podatny na wstrzyknięcie poleceń systemowych poprzez komponent ExecTool. Funkcja guardCommand() próbuje ograniczyć wykonywanie poleceń powłoki za pomocą listy zablokowanych wyrażeń regularnych, jednak lista ta jest niekompletna.
Risk Assessment
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego wykonania poleceń systemowych, co stwarza poważne zagrożenie dla bezpieczeństwa systemu. Organizacje mogą być narażone na utratę danych lub przejęcie kontroli nad systemem.
Recommendation
Zaleca się aktualizację Picoclaw do najnowszej wersji, która naprawia tę podatność. Dodatkowo, warto przeprowadzić audyt zabezpieczeń, aby zminimalizować ryzyko związane z wstrzyknięciem poleceń.
Original NVD description (English source)
picoclaw <=v0.1.2 and earlier is vulnerable to OS command injection via the ExecTool component (pkg/tools/shell.go). The guardCommand() function attempts to restrict shell command execution using a denylist of 8 regular expressions, but the denylist is incomplete.