Несанкционированный ввод во время создания веб-страницы в веб-представлении агента Kiro в Kiro IDE до версии 0.8.140 позволяет удаленному неаутентифицированному злоумышленнику выполнять произвольный код с помощью потенциально опасного имени созданной цветовой темы, когда локальный пользователь открывает рабочую область. Эта проблема требует, чтобы пользователь доверял рабочей области при появлении соответствующего запроса.
Чтобы устранить эту проблему, пользователям следует выполнить обновление до версии 0.8.140.
Показать оригинальное описание (EN)
Unsanitized input during web page generation in the Kiro Agent webview in Kiro IDE before version 0.8.140 allows a remote unauthenticated threat actor to execute arbitrary code via a potentially damaging crafted color theme name when a local user opens the workspace. This issue requires the user to trust the workspace when prompted. To remediate this issue, users should upgrade to version 0.8.140.
Характеристики атаки
Последствия
Строка CVSS v4.0