CVE-2026-75912
Publiée le 2026-08-18 · Dernière modification le 2026-08-19
Les versions de CodeWhale antérieures à 0.8.64 sont affectées par une faille d'injection d'arguments dans l'outil `git_blame`. Un attaquant peut lire des fichiers arbitraires sur votre serveur, tels que des clés SSH ou des identifiants, en fournissant une entrée spécialement conçue à l'outil. Cette action peut être exécutée via le réseau sans authentification, bien qu'elle nécessite l'interaction d'un utilisateur avec le système pour déclencher l'entrée malveillante.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
CodeWhale versions before 0.8.64 contain an argument injection vulnerability in the git_blame tool that allows attackers to read arbitrary files by injecting git options into the unvalidated rev parameter. Attackers can supply rev values like --contents=/path/to/file to exfiltrate sensitive files such as SSH keys and credentials through the tool output returned to the model.