CVE-2026-109560

WysokieCVSS 7.5

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Continue CLI (@continuedev/cli) do wersji 1.5.47 zawiera podatność obejścia uprawnień, która umożliwia atakującym uruchamianie niezatwierdzonych poleceń poprzez łączenie ich z dozwolonymi regułami prefiksów Bash. Atakujący mogą wstrzykiwać instrukcje do plików repozytorium lub pobranych stron, tak aby agent dodawał polecenia po ;, && lub | i wykonywał kod jako użytkownik.

Ocena ryzyka

Ryzyko polega na nieautoryzowanym wykonaniu kodu w kontekście użytkownika, co może prowadzić do przejęcia kontroli nad systemem lub naruszenia danych.

Rekomendacja

Zaleca się natychmiastową aktualizację do wersji nowszej niż 1.5.47 oraz ograniczenie dostępu do repozytoriów i stron, które mogą zawierać złośliwe instrukcje.

Inne podatności w Continue CLI

CVE-2026-76072Wysokie
Narzędzie Continue CLI w trybie bez nadzoru (headless/auto) stosuje niekompletną listę zablokowanych poleceń jako jedyną ochronę przed destrukcyjnymi komendami powłoki. Zezwala na wykonanie polecenia Bash, a blokuje tylko niektóre ścieżki, co pozwala na rekurencyjne usunięcie katalogów takich jak /home, /root, /var, /opt czy /srv. Dodatkowo, przez parsowanie zmiennych, polecenie rm -rf $HOME nie jest blokowane, a inne niebezpieczne narzędzia (find, shred, wipefs, truncate, pkexec) nie są odpowiednio obsłużone.

Oryginalny opis (angielski, źródło NVD)

Continue CLI (@continuedev/cli) through 1.5.47 contains a permission bypass vulnerability that allows attackers to run unapproved commands by chaining them after allowed Bash prefix rules. Attackers can inject instructions into repository files or fetched pages so the agent appends commands after ;, && or | to execute code as the user.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS