CVE-2026-111079
Publiée le 2026-10-22 · Dernière modification le 2026-10-23
Goose est un agent IA conçu pour automatiser les tâches de développement, et la faille se situe dans sa fonctionnalité d'intégration au terminal. Lorsque cette fonctionnalité est active, l'application collecte l'historique de vos commandes shell et l'envoie directement à votre fournisseur de LLM configuré. Comme le logiciel ne nettoie pas ces données, tous les secrets — tels que les clés API ou les mots de passe — saisis dans votre terminal sont inclus dans la transmission.
Un attaquant ou le fournisseur de services recevant les données peut ainsi accéder à vos identifiants confidentiels, compromettant la confidentialité de votre environnement. Cela se produit automatiquement lors d'une utilisation normale, sans nécessiter de privilèges particuliers ni d'authentification de la part d'un attaquant externe. Toutefois, cela requiert que l'utilisateur ait activé la fonctionnalité et ait saisi des données sensibles dans son terminal.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in Goose. When the terminal integration feature is enabled, the application captures shell command history and sends it verbatim without sanitization to configured Large Language Model (LLM) provider endpoints during queries. If a user enters sensitive data—such as API tokens, passwords, or environment variables containing secrets—in the terminal, this unredacted information is transmitted across trust boundaries. This can lead to sensitive information disclosure, exposing confidential credentials to external service providers and logs.