CVE-2026-36045
WysokieCVSS 7.3Streszczenie
Picoclaw w wersji 0.1.2 i wcześniejszych jest podatny na wstrzyknięcie poleceń systemowych poprzez komponent ExecTool. Funkcja guardCommand() próbuje ograniczyć wykonywanie poleceń powłoki za pomocą listy zablokowanych wyrażeń regularnych, jednak lista ta jest niekompletna.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego wykonania poleceń systemowych, co stwarza poważne zagrożenie dla bezpieczeństwa systemu. Organizacje mogą być narażone na utratę danych lub przejęcie kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację Picoclaw do najnowszej wersji, która naprawia tę podatność. Dodatkowo, warto przeprowadzić audyt zabezpieczeń, aby zminimalizować ryzyko związane z wstrzyknięciem poleceń.
Oryginalny opis (angielski, źródło NVD)
picoclaw <=v0.1.2 and earlier is vulnerable to OS command injection via the ExecTool component (pkg/tools/shell.go). The guardCommand() function attempts to restrict shell command execution using a denylist of 8 regular expressions, but the denylist is incomplete.