CVE-2026-18657

WysokieCVSS 7.8

Opublikowano: 04/08/2026(UTC)Zaktualizowano: 18/08/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Niekontrolowany element ścieżki wyszukiwania w Kiro CLI przed wersją 2.10.0 w systemie Windows może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez złośliwie spreparowany katalog projektu zawierający plik wykonywalny, który omija zabezpieczenia zaufania do obszaru roboczego, gdy lokalny użytkownik uruchomi Kiro CLI w tym katalogu. Aby naprawić problem, użytkownicy powinni zaktualizować do wersji 2.10.0 lub nowszej.

Ocena ryzyka

Atakujący może wykonać dowolny kod na komputerze użytkownika, co może prowadzić do przejęcia systemu i kradzieży danych.

Rekomendacja

Zaktualizuj Kiro CLI do wersji 2.10.0 lub nowszej, która zawiera poprawkę. Unikaj uruchamiania Kiro CLI w niezaufanych katalogach.

Inne podatności w Kiro CLI

CVE-2026-9255Wysokie
Kiro CLI przed wersją 1.28.0 nie waliduje źródła danych wejściowych w monicie autoryzacji narzędzia. Lokalny atakujący może wykonać dowolne narzędzia, w tym polecenia powłoki, bez zgody użytkownika, przesyłając spreparowaną treść przez stdin.

Oryginalny opis (angielski, źródło NVD)

An uncontrolled search path element in Kiro CLI before version 2.10.0 on Windows might allow a remote unauthenticated actor to execute arbitrary code via a maliciously crafted project directory containing an executable that bypasses workspace trust protections when a local user starts Kiro CLI in the directory. To remediate this issue, users should upgrade to version 2.10.0 or higher.