CVE-2026-48721
Publiée le 2026-06-24 · Dernière modification le 2026-10-25
Les utilisateurs de l'environnement de développement Warp (versions comprises entre octobre 2025 et mai 2026) sont concernés par une faille dans la manière dont l'agent CLI filtre les commandes restreintes. Un attaquant capable d'influencer la sortie des commandes de l'agent peut contourner les contrôles de sécurité pour exécuter des commandes restreintes arbitraires sur votre système. Cela nécessite un accès local et une forme d'interaction de l'utilisateur pour être déclenché, mais aucun privilège d'authentification spécial n'est requis.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Warp is an agentic development environment. From 0.2025.10.08.08.12.stable_00 until 0.2026.05.06.15.42.stable_01, Warp contains a command execution permission-check bypass in the default unsandboxed CLI agent profile. The CLI profile is non-interactive and relies on a command denylist as a safety boundary for commands that should require confirmation. Because command strings were checked before canonicalizing leading environment-variable assignments, an attacker who can influence the agent's command output may cause denylisted commands to be treated as non-denylisted. This vulnerability is fixed in 0.2026.05.06.15.42.stable_01.