- Son 7 gün
- CWE-78
CVE-2026-115726
Aider'da depo içindeki .aider.conf.yml ayarları üzerinden komut çalıştırma açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Aider 0.86.2 sürümüne kadar olan sürümlerde komut çalıştırma açığı bulunmaktadır. Saldırganlar, güven onayı istenmeden otomatik yüklenen kötü amaçlı bir .aider.conf.yml dosyasını depoya ekleyerek kabuk komutları çalıştırabilir. Saldırganlar notifications-command veya editor değerlerini ayarlayabilir; bu değerler model yanıtlarından sonra ya da /editor kullanıldığında shell=True ile subprocess üzerinden çalıştırılır ve komutlar kurbanın yetkileriyle çalışır.
Kaynaktaki açıklama (İngilizce)
Aider through 0.86.2 contains a command execution vulnerability that allows attackers to run shell commands by committing a malicious .aider.conf.yml that is auto-loaded without a trust prompt. Attackers can set notifications-command or editor values that are executed via subprocess with shell=True after model replies or /editor use, running commands with the victim's privileges.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Aider-AI aider | ≤ 0.86.2 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/Aider-AI/aider/issues/5885 Üçüncü taraf
- vulncheck.com/…ecution-via-repository-aider-conf-yml-settings Üçüncü taraf
- github.com/Aider-AI/aider/blob/v0.86.2/aider/io.py Diğer
- github.com/Aider-AI/aider/blob/v0.86.2/aider/editor.py Diğer
- github.com/Aider-AI/aider/blob/v0.86.2/aider/main.py Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.