CVE-2026-19592
NieznaneStreszczenie
OpenAI Codex CLI dla Windows, macOS i Linux oraz Codex Desktop dla Windows i macOS automatycznie zbierały metadane repozytorium Git bez wyłączania ustawienia core.fsmonitor specyficznego dla repozytorium. Jeśli użytkownik otworzy lub użyje przygotowanego repozytorium, którego zachowany plik .git/config ustawia core.fsmonitor na kontrolowany przez atakującego pomocnik monitorowania plików, Git może wykonać tego pomocnika podczas zbierania metadanych przez Codex. Pomocnik działa poza sandboxem Codex i bez monitu o zatwierdzenie przez użytkownika, co pozwala na wykonanie kodu kontrolowanego przez atakującego z uprawnieniami użytkownika. Kod może czytać, zmieniać lub usuwać pliki użytkownika oraz uzyskać dostęp do innych zasobów dostępnych dla konta użytkownika. Zwykły klon Git nie zachowuje lokalnego pliku .git/config repozytorium źródłowego; wykorzystanie wymaga repozytorium dostarczonego lub skopiowanego z nienaruszoną konfiguracją.
Ocena ryzyka
Atakujący może wykonać dowolny kod z uprawnieniami użytkownika, co może prowadzić do kradzieży danych, modyfikacji plików lub dostępu do zasobów konta.
Rekomendacja
Zaktualizuj Codex CLI i Codex Desktop do wersji z poprawką oraz unikaj otwierania repozytoriów z nieznanych źródeł, szczególnie tych z zachowaną lokalną konfiguracją Git.
Inne podatności w OpenAI Codex CLI
Zobacz wszystkie- CVE-2026-19591Nieznane
OpenAI Codex CLI dla Windows, macOS i Linux oraz Codex Desktop dla Windows i macOS błędnie klasyfikowały niektóre polecenia PowerShell jako bezpieczne, ponieważ ich parser bezpieczeństwa poleceń interpretował token zatrzymania parsowania (--%) inaczej niż sam PowerShell. Jeśli użytkownik otworzy przygotowane repozytorium i Codex postąpi zgodnie z jego instrukcjami, Codex może uruchomić polecenie Git zapisujące plik bez wymagania zgody użytkownika. Na macOS i Linux wykorzystanie dodatkowo wymaga osobno zainstalowanego PowerShell Core (pwsh). Jeśli ochrona systemu plików pozwala na zapis, polecenie może zmodyfikować konfigurację Codex. Jeśli Codex później załaduje zmodyfikowaną konfigurację, może uruchomić kontrolowany przez atakującego serwer MCP i wykonać kod z uprawnieniami użytkownika, co pozwala na czytanie, zmianę lub usuwanie plików dostępnych dla tego konta. Obejście zatwierdzenia nie wyłącza sandboxa systemu plików; domyślny sandbox na macOS i Linux może zapobiec zapisom poza dozwolonymi lokalizacjami.
- CVE-2025-61260Krytyczne
W OpenAI Codex CLI w wersji 0.23.0 i wcześniejszych wykryto podatność umożliwiającą wykonanie kodu poprzez złośliwe pliki konfiguracyjne MCP. Atak następuje, gdy użytkownik uruchomi polecenie codex w spreparowanym repozytorium, a Codex automatycznie ładuje lokalne pliki .env i .codex/config.toml bez potwierdzenia użytkownika.
Oryginalny opis (angielski, źródło NVD)
OpenAI Codex CLI for Windows, macOS, and Linux and Codex Desktop for Windows and macOS automatically collected Git repository metadata without disabling the repository-local core.fsmonitor setting. If a user opens or uses an attacker-prepared repository whose preserved .git/config sets core.fsmonitor to an attacker-controlled filesystem-monitor helper, Git can execute that helper while Codex collects repository metadata. The helper runs outside Codex's command sandbox and without a user-approval prompt, allowing attacker-controlled code to run with the user's privileges. The code can read, change, or delete the user's files and access other resources available to the user's account. An ordinary Git clone does not preserve the source repository's local .git/config; exploitation requires a repository delivered or copied with that configuration intact.