CVE-2025-61260
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
W OpenAI Codex CLI w wersji 0.23.0 i wcześniejszych wykryto podatność umożliwiającą wykonanie kodu poprzez złośliwe pliki konfiguracyjne MCP. Atak następuje, gdy użytkownik uruchomi polecenie codex w spreparowanym repozytorium, a Codex automatycznie ładuje lokalne pliki .env i .codex/config.toml bez potwierdzenia użytkownika.
Ocena ryzyka
Ryzyko polega na tym, że osoba atakująca może przejąć kontrolę nad środowiskiem programistycznym ofiary, wykonując dowolne polecenia natychmiast po uruchomieniu Codex w złośliwym repozytorium, co może prowadzić do kradzieży danych lub dalszej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować OpenAI Codex CLI do wersji nowszej niż 0.23.0, jeśli taka jest dostępna, lub tymczasowo unikać uruchamiania Codex w repozytoriach pochodzących z niezaufanych źródeł.
Inne podatności w OpenAI Codex CLI
Zobacz wszystkie- CVE-2026-19592Wysokie
OpenAI Codex CLI dla Windows, macOS i Linux oraz Codex Desktop dla Windows i macOS automatycznie zbierały metadane repozytorium Git bez wyłączania ustawienia core.fsmonitor specyficznego dla repozytorium. Jeśli użytkownik otworzy lub użyje przygotowanego repozytorium, którego zachowany plik .git/config ustawia core.fsmonitor na kontrolowany przez atakującego pomocnik monitorowania plików, Git może wykonać tego pomocnika podczas zbierania metadanych przez Codex. Pomocnik działa poza sandboxem Codex i bez monitu o zatwierdzenie przez użytkownika, co pozwala na wykonanie kodu kontrolowanego przez atakującego z uprawnieniami użytkownika. Kod może czytać, zmieniać lub usuwać pliki użytkownika oraz uzyskać dostęp do innych zasobów dostępnych dla konta użytkownika. Zwykły klon Git nie zachowuje lokalnego pliku .git/config repozytorium źródłowego; wykorzystanie wymaga repozytorium dostarczonego lub skopiowanego z nienaruszoną konfiguracją.
- CVE-2026-19591Wysokie
OpenAI Codex CLI dla Windows, macOS i Linux oraz Codex Desktop dla Windows i macOS błędnie klasyfikowały niektóre polecenia PowerShell jako bezpieczne, ponieważ ich parser bezpieczeństwa poleceń interpretował token zatrzymania parsowania (--%) inaczej niż sam PowerShell. Jeśli użytkownik otworzy przygotowane repozytorium i Codex postąpi zgodnie z jego instrukcjami, Codex może uruchomić polecenie Git zapisujące plik bez wymagania zgody użytkownika. Na macOS i Linux wykorzystanie dodatkowo wymaga osobno zainstalowanego PowerShell Core (pwsh). Jeśli ochrona systemu plików pozwala na zapis, polecenie może zmodyfikować konfigurację Codex. Jeśli Codex później załaduje zmodyfikowaną konfigurację, może uruchomić kontrolowany przez atakującego serwer MCP i wykonać kod z uprawnieniami użytkownika, co pozwala na czytanie, zmianę lub usuwanie plików dostępnych dla tego konta. Obejście zatwierdzenia nie wyłącza sandboxa systemu plików; domyślny sandbox na macOS i Linux może zapobiec zapisom poza dozwolonymi lokalizacjami.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in OpenAI Codex CLI v0.23.0 and before that enables code execution through malicious MCP (Model Context Protocol) configuration files. The attack is triggered when a user runs the codex command inside a malicious or compromised repository. Codex automatically loads project-local .env and .codex/config.toml files without requiring user confirmation, allowing attackers to embed arbitrary commands that execute immediately.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS