CVE-2026-8767
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
W bibliotece vercel ai do wersji 3.0.97 wykryto podatność w funkcji run w pliku .github/workflows/prettier-on-automerge.yml, związanej z interpolacją nazwy gałęzi PR. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można zainicjować zdalnie, choć jego złożoność jest wysoka, a wykorzystanie uznaje się za trudne.
Ocena ryzyka
Podatność może pozwolić na zdalne wykonanie poleceń w środowisku CI/CD, co grozi przejęciem procesu budowania lub wyciekiem danych. Mimo wysokiej złożoności ataku, publiczne ujawnienie exploita zwiększa ryzyko.
Rekomendacja
Zaktualizuj bibliotekę vercel ai do wersji nowszej niż 3.0.97, jeśli jest dostępna, oraz przejrzyj i zabezpiecz pliki workflow GitHub Actions pod kątem interpolacji niezaufanych danych wejściowych.
Inne podatności w vercel ai
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in vercel ai up to 3.0.97. Impacted is the function run of the file .github/workflows/prettier-on-automerge.yml of the component PR Branch Name Interpolation. The manipulation leads to os command injection. The attack can be initiated remotely. The complexity of an attack is rather high. The exploitability is considered difficult. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS