CVE-2026-66065

WysokieCVSS 8.4

Opublikowano: 03/08/2026(UTC)Zaktualizowano: 05/08/2026(UTC)Przetłumaczono: 04/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Ouroboros, środowisko uruchomieniowe dla agentów AI, przed wersją 0.42.1, zawiera niekompletną listę blokowanych kluczy. Pomimo wcześniejszej łatki (CVE-2026-47211), niektóre klucze umożliwiające zdalne wykonanie kodu (RCE) nie zostały zablokowane. Złośliwe repozytorium może wykorzystać plik .env do ominięcia mechanizmów bezpieczeństwa i wykonania dowolnych poleceń. Problem naprawiono w wersji 0.42.1.

Ocena ryzyka

Atakujący może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnej kompromitacji systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację Ouroboros do wersji 0.42.1 lub nowszej.

Inne podatności w Ouroboros

CVE-2026-47211Wysokie
Ouroboros przed wersją 0.39.0 ładuje plik .env z bieżącego katalogu roboczego, co pozwala na wstrzyknięcie złośliwych zmiennych środowiskowych. Sklonowanie złośliwego repozytorium i uruchomienie komend Ouroboros może prowadzić do wykonania dowolnego kodu i przejęcia systemu.

Oryginalny opis (angielski, źródło NVD)

Ouroboros is a local-first runtime for AI coding agents that records their actions and applies user-defined policies to constrain behavior. Versions prior to 0.42.1 have an incomplete denylist. Several execution-routing keys of the same RCE class were omitted, so a malicious cloned repo can still reach arbitrary command execution by shipping a .env (auto-loaded at import, with no review step). The CVE-2026-47211 fix added _UNTRUSTED_ENV_DENYLIST to stop an untrusted project-directory .env from redirecting execution, but it did not account for all keys. The backend config-home and MCP/plugin roots bypass the approval gate by pointing the nested agent, MCP servers, and plugin roster at attacker config. Other variables re-enable blocked local transports, replace sub-agent prompts, switch backends, and lower tool approval classes, further weakening the approval gate. This issue has been fixed in version 0.42.1.