CVE-2026-59865
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
Podatność w Kiota przed wersją 1.32.5 pozwala na wstrzyknięcie poleceń poprzez odczytanie złośliwych wartości `dependencyInstallCommand` z opisu OpenAPI. Atakujący może dostarczyć spreparowany opis, który po ręcznym lub automatycznym wykonaniu sugerowanego polecenia instalacji doprowadzi do wykonania dowolnego kodu.
Ocena ryzyka
Organizacja narażona jest na przejęcie kontroli nad systemem, jeśli deweloperzy lub zautomatyzowane przepływy (np. rozszerzenie VS Code) wykonają zainfekowane polecenie instalacji zależności. Może to prowadzić do instalacji złośliwego oprogramowania lub kradzieży danych.
Rekomendacja
Niezwłocznie zaktualizuj Kiota do wersji 1.32.5 lub nowszej. Przed aktualizacją unikaj używania `kiota info` z niezweryfikowanych źródeł OpenAPI i nie wykonuj sugerowanych poleceń instalacji bez ręcznej weryfikacji.
Oryginalny opis (angielski, źródło NVD)
Kiota is an OpenAPI based HTTP Client code generator. Prior to 1.32.5, `kiota info` read x-ms-kiota-info.languagesInformation.<language>.dependencyInstallCommand plus dependency name and version values from an OpenAPI description and presented the spec-supplied command as Kiota's recommended install command, allowing an attacker-controlled or compromised description to cause command injection when the suggested command was run manually or through the Kiota VS Code extension's kiota info --json dependency-install flow. This issue is fixed in version 1.32.5.