CVE-2026-19593

KrytyczneCVSS 9.8

Opublikowano: 01/09/2026(UTC)Zaktualizowano: 02/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

OpenAI Codex Desktop dla Windows i macOS automatycznie sprawdzał metadane Git i stan drzewa roboczego po otwarciu workspace. Jeśli workspace zawiera repozytorium z zachowanym, kontrolowanym przez atakującego plikiem .git/config, ustawienie attr.tree oraz skonfigurowany filtr clean lub process mogą spowodować uruchomienie przez Git programu kontrolowanego przez atakującego. Program działa poza sandboxem Codex z uprawnieniami zalogowanego użytkownika, bez monitu o zaufanie do workspace, zatwierdzenia poleceń ani interakcji z modelem. Atakujący może czytać, modyfikować lub usuwać pliki oraz uzyskać dostęp do poświadczeń dostępnych dla tego użytkownika. Wykorzystanie wymaga, aby Git był dostępny w PATH i aby użytkownik otworzył przygotowane repozytorium z nienaruszoną lokalną konfiguracją Git. Zwykły klon Git nie kopiuje pliku .git/config z repozytorium źródłowego i sam w sobie nie wystarcza.

Ocena ryzyka

Atakujący może wykonać dowolny kod z uprawnieniami użytkownika, co może prowadzić do kradzieży danych, modyfikacji plików lub przejęcia poświadczeń.

Rekomendacja

Zaktualizuj Codex Desktop do wersji z poprawką oraz unikaj otwierania repozytoriów z nieznanych źródeł, szczególnie tych z zachowaną lokalną konfiguracją Git.

Inne podatności w OpenAI Codex Desktop

CVE-2026-19590Niskie ryzyko· EPSS 3%
OpenAI Codex Desktop dla Windows i macOS mógł wykonywać kontrolowane przez atakującego haki Git, ponieważ zautomatyzowane operacje Git ufały lokalnemu ustawieniu core.hooksPath w repozytorium. Jeśli użytkownik otworzy przygotowane repozytorium, którego zachowany plik .git/config wskazuje core.hooksPath na katalog kontrolowany przez atakującego, Codex może uruchomić złośliwy hak podczas przetwarzania repozytorium. Hak wykonuje się poza sandboxem Codex, bez zgody użytkownika i z uprawnieniami użytkownika, co pozwala mu czytać, zmieniać lub usuwać pliki użytkownika oraz uzyskać dostęp do innych zasobów dostępnych dla konta. Zwykły klon Git nie zachowuje kontrolowanej przez atakującego konfiguracji specyficznej dla repozytorium, która jest wymagana do wykorzystania.

Oryginalny opis (angielski, źródło NVD)

OpenAI Codex Desktop for Windows and macOS automatically inspected Git metadata and working-tree status when a user opened a workspace. If the workspace contains a repository with preserved attacker-controlled .git/config, the attr.tree setting and a configured clean or process filter can cause Git to run an attacker-controlled program. The program runs outside Codex's command sandbox with the signed-in user's privileges, without a workspace-trust prompt, command approval, or interaction with a model. The attacker can read, modify, or delete files and access credentials available to that user. Exploitation requires Git to be available on PATH and the user to open the attacker-prepared repository with its local Git configuration intact. An ordinary Git clone does not copy the source repository's .git/config and is not sufficient by itself.