CVE-2026-36044
WysokieCVSS 8.8Streszczenie
Biblioteka @pensar/apex w wersjach do 0.0.58 jest podatna na wstrzykiwanie poleceń systemowych za pomocą narzędzia smart_enumerate. Funkcja createSmartEnumerateTool() w pliku src/core/agent/tools.ts tworzy polecenie powłoki, łącząc niesanitizowane wartości z tablicy extensions oraz parametru url, co prowadzi do wykonania dowolnych poleceń systemowych.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego wykonania poleceń systemowych z uprawnieniami procesu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu. Organizacje mogą być narażone na utratę danych lub przejęcie kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację biblioteki @pensar/apex do najnowszej wersji, która eliminuje tę podatność. Dodatkowo, warto przeprowadzić audyt kodu w celu identyfikacji i usunięcia innych potencjalnych luk bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
@pensar/apex <= 0.0.58 is vulnerable to OS command injection via the smart_enumerate tool. The createSmartEnumerateTool() function in src/core/agent/tools.ts constructs a shell command by concatenating unsanitized values from the extensions array and url parameter into a string passed to Node.js child_process.exec(). Because exec() spawns a shell, shell metacharacters in those values are interpreted by the host shell, resulting in arbitrary OS command execution with the privileges of the running process. NOTE: this is disputed by the Supplier because the report is about intended behavior, as explained in the Security Policy of the pensarai/apex GitHub repo.