Към съдържанието
Търсене

CVE-2026-19590: OpenAI Codex Desktop, верига на доставки

7.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се локално, без особени условия, с обикновен потребителски вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

OpenAI Codex Desktop for Windows and macOS could execute attacker-controlled Git hooks because automated Git operations trusted the repository's local core.hooksPath setting. If a user opens an attacker-prepared repository whose preserved .git/config points core.hooksPath to an attacker-controlled directory, Codex can run a malicious hook while processing the repository. The hook executes outside Codex's command sandbox, without user approval, and with the user's privileges, allowing it to read, change, or delete the user's files and access other resources available to the user's account. An ordinary Git clone does not preserve the attacker-controlled repository-local configuration required for exploitation.

Засегнати продукти

  • OpenAI Codex Desktop: 260202.0859 до 26.513.31313; 26.519.22136
  • OpenAI Codex Desktop: 26.304.38 до 26.513.40821; 26.519.21041
  • OpenAI Codex Desktop (Microsoft Store package): 26.304.38.0 до 26.513.4821.0; 26.519.2081.0

Вид слабост

История

  • 1 септември 2026 Публикувано

Други уязвимости в OpenAI Codex Desktop

Първоизточници

CVE-2026-19590: OpenAI Codex Desktop, верига на доставки | freedomonline.bg