CVE-2026-85623
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
goose 1.37.0 wykonuje dowolne polecenia z rozszerzeń stdio przepisów i retry.checks bez kontroli bezpieczeństwa. Atakujący mogą rozpowszechniać złośliwe przepisy, które wykonują polecenia powłoki jako użytkownik uruchamiający goose, omijając skan bezpieczeństwa przepisów, który nie sprawdza rozszerzeń ani konfiguracji ponowień.
Ocena ryzyka
Ryzyko obejmuje wykonanie dowolnych poleceń w imieniu użytkownika, co może prowadzić do przejęcia systemu, kradzieży danych lub zainstalowania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację goose do wersji, która zawiera poprawkę, oraz ostrożność przy stosowaniu przepisów z niezaufanych źródeł.
Inne podatności w goose
Zobacz wszystkie- CVE-2026-109561Średnie
W goose od wersji 1.28.0 do 1.44.0 występuje luka obejścia autoryzacji, która pozwala narzędziom działać bez zgody użytkownika w trybie Manual Approval. Adnotacje read-only utrwalone w sesji nie są czyszczone przez update_goose_mode, więc po użyciu trybu Smart Approval wywołania narzędzi z adnotacją readOnlyHint: true wykonują się bez pytania, omijając wybrany tryb zatwierdzania w PermissionInspector::inspect.
- CVE-2026-72718Wysokie
goose przed wersją 1.44.0 ma podatność, w której polecenie `goose review` uruchamia `git` bez oczyszczania konfiguracji, co pozwala złośliwemu repozytorium na wykonanie dowolnych poleceń na hoście.
Oryginalny opis (angielski, źródło NVD)
goose 1.37.0 executes arbitrary commands from recipe stdio extensions and retry.checks without security inspection. Attackers can distribute malicious recipes that execute shell commands as the user running goose, bypassing the recipe security scan which does not inspect extensions or retry configurations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS