CVE-2026-44190
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Rozszerzenie Ansible Lightspeed dla Visual Studio Code zawiera podatność na wstrzykiwanie poleceń (CWE-78). Ustawienie `ansible.python.activationScript` nie sprawdza poprawnie ścieżki pliku, co pozwala zdalnemu atakującemu na wykonanie nieautoryzowanych poleceń na systemie użytkownika po otwarciu spreparowanego projektu.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad systemem ofiary z uprawnieniami aplikacji Visual Studio Code, co może prowadzić do kradzieży danych lub dalszego ataku.
Rekomendacja
Należy zaktualizować rozszerzenie Ansible Lightspeed do najnowszej wersji zawierającej poprawkę.
Inne podatności w Ansible Lightspeed
Zobacz wszystkie- CVE-2026-44187Niskie
Rozszerzenie Ansible Lightspeed dla Visual Studio Code przechowuje klucz API Google Gemini w postaci zwykłego tekstu w pliku konfiguracyjnym użytkownika i zapisuje go do plików dziennika. Lokalny atakujący lub złośliwe oprogramowanie działające z uprawnieniami użytkownika może odczytać ten klucz.
- CVE-2026-44188Średnie
W Ansible Lightspeed stwierdzono podatność związaną z niewystarczającym wygaśnięciem sesji. Zdalny atakujący może utrzymać trwały dostęp do instancji Ansible Lightspeed, jeśli przechwyci ważny token OAuth przed wylogowaniem użytkownika. Aplikacja nie unieważnia tokena po stronie backendu, pozostawiając go ważnym do naturalnego wygaśnięcia.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Ansible Lightspeed Visual Studio Code extension. This Command Injection vulnerability (CWE-78) allows a remote attacker to execute unauthorized commands on a user's system. The issue occurs because the `ansible.python.activationScript` setting, intended for a virtual environment activation script, does not properly validate user input as a file path. If a user opens or executes a specially crafted project, an attacker could exploit this to gain complete control over the user's system with the privileges of the Visual Studio Code application.