CVE-2026-41109
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Podatność w GitHub Copilot i Visual Studio polega na niewłaściwej neutralizacji specjalnych elementów w danych wyjściowych używanych przez komponent nadrzędny, co umożliwia atakującemu ominięcie zabezpieczeń sieciowych. Luka ta może być wykorzystana zdalnie bez autoryzacji.
Ocena ryzyka
Atakujący może ominąć mechanizmy bezpieczeństwa, potencjalnie uzyskując nieautoryzowany dostęp do wrażliwych danych lub wykonując złośliwe działania w środowisku deweloperskim.
Rekomendacja
Zaleca się natychmiastową aktualizację GitHub Copilot i Visual Studio do najnowszych wersji zawierających poprawkę. Należy również monitorować komunikaty producenta dotyczące tej luki.
Inne podatności w GitHub Copilot
Zobacz wszystkie- CVE-2026-70335Wysokie
Podatność typu os command injection w GitHub Copilot i Visual Studio Code pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień lokalnie.
- CVE-2026-50510Wysokie
Nieprawidłowe ograniczenie nazw plików i innych zasobów w GitHub Copilot umożliwia nieautoryzowanemu atakującemu lokalne wykonanie kodu.
- CVE-2026-47282Średnie
W GitHub Copilot i Visual Studio Code wykryto niewystarczająco chronione poświadczenia, co umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.
- CVE-2025-66389Wysokie
Podatność w GitHub Copilot 1.372.0 umożliwia dostęp do systemu plików poza folderem roboczym bez zgody użytkownika poprzez parametr URI w funkcji fetch_webpage. Może to prowadzić do wycieku danych w przypadku pośredniego wstrzyknięcia promptu.
- CVE-2026-50519Średnie
Podatność w GitHub Copilot i Visual Studio Code wynika z inicjalizacji zasobu z niebezpiecznym domyślnym ustawieniem, co umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.
- CVE-2026-45482Wysokie
Podatność typu path traversal w GitHub Copilot i Visual Studio Code pozwala nieautoryzowanemu atakującemu na lokalne ominięcie funkcji zabezpieczającej.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of special elements in output used by a downstream component ('injection') in GitHub Copilot and Visual Studio allows an unauthorized attacker to bypass a security feature over a network.