CodeWhale (пакеты codewhale / codewhale-tui) версий >= 0.8.41 и < 0.8.64 содержат уязвимость удаленного выполнения кода в инструменте rlm_eval. Метод Approval_requirement() инструмента возвращает ApprovalRequirement::Auto, который движок интерпретирует как «никогда не запрашивать», заставляя произвольный код Python, предоставленный моделью, запускаться в интерпретаторе Python3 без обращения к настроенной пользователем политике --approval-policy и без какого-либо запроса на утверждение или этапа аудита. Злоумышленник может заставить агента выполнить произвольный код путем внедрения подсказки в ненадежный контент, который читает агент (веб-страница, полученный URL-адрес, файл репозитория или результат инструмента MCP); сопутствующий инструмент rlm_open может размещать такой контент.
Код выполняется на компьютере пользователя на уровне привилегий пользователя. Исправлено в 0.8.64.
Показать оригинальное описание (EN)
CodeWhale (packages codewhale / codewhale-tui) versions >= 0.8.41 and < 0.8.64 contain a remote code execution vulnerability in the rlm_eval tool. The tool's approval_requirement() returns ApprovalRequirement::Auto, which the engine treats as 'never prompt,' causing arbitrary model-supplied Python code to run in a python3 interpreter without consulting the user's configured --approval-policy and without any approval prompt or audit step. An attacker can induce the agent to execute arbitrary code via prompt injection in untrusted content the agent reads (a web page, fetched URL, repository file, or MCP tool result); the companion rlm_open tool can stage such content. Code runs on the user's machine at the user's privilege level. Fixed in 0.8.64.
Характеристики атаки
Последствия
Строка CVSS v4.0