FICHE CVE

CVE-2026-45033

Publiée le 2026-05-13 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les utilisateurs des versions de GitHub Copilot CLI antérieures à la 1.0.43 sont exposés à un risque s'ils travaillent dans un répertoire de projet contenant un dépôt git imbriqué malveillant. Un attaquant peut s'en servir pour exécuter des commandes arbitraires sur votre machine en incitant l'outil à lancer une configuration git spécialement conçue. Cette attaque nécessite un accès local à votre système de fichiers, mais ne requiert aucune interaction supplémentaire de l'utilisateur ni d'authentification pour être déclenchée.

CVSS 4.08.5 ÉLEVÉE

Type de faiblesse

CWE-696

Publiée2026-05-13

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GitHub Copilot CLI brings AI-powered coding assistance directly to your command line. Prior to 1.0.43, a security vulnerability has been identified in GitHub Copilot CLI where a malicious bare git repository nested inside a project directory can achieve arbitrary code execution when the agent performs git operations. By exploiting git's automatic bare repository discovery during directory traversal, an attacker can set core.fsmonitor or other executable config keys to run arbitrary commands without user awareness or approval. The vulnerability arises because git's core.fsmonitor config key (and 15+ similar keys such as core.hookspath, diff.external, merge.tool, etc.) can specify arbitrary shell commands that git will execute as part of normal operations like status, diff, or rev-parse. This vulnerability is fixed in 1.0.43.