PT-2026-41166 · Hmbown+1 · Codewhale+2

47Cid · Publicado 2026-05-14 · Atualizado 2026-05-28 · CVE-2026-45311

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas CodeWhale versões 0.3.0 a 0.8.22

Descrição A ferramenta run tests executa o comando cargo test no workspace com ApprovalRequirement::Auto, permitindo que seja executado sem a aprovação do usuário. Como o cargo test compila e executa código arbitrário — incluindo binários de teste, scripts de build build.rs e proc macros — um repositório malicioso pode executar comandos de shell arbitrários, exfiltrar credenciais ou estabelecer persistência. Esse risco é ampliado pelo arquivo AGENTS.md, que é carregado automaticamente no prompt do sistema e pode ser usado para instruir o modelo a executar testes proativamente no início de uma sessão.

Recomendações Atualize para a versão 0.8.23. Como medida paliativa temporária, restrinja o uso da ferramenta run tests ao trabalhar com repositórios não confiáveis.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-45311

GHSA-WX44-2Q6H-J6P8

Produtos afetados

Codewhale

Deepseek-Tui

Deepseek-Tui-Cli

Referências · 8

• 🔥 https://github.com/Hmbown/CodeWhale/security/advisories/GHSA-wx44-2q6h-j6p8 · Exploit
• https://github.com/Hmbown/DeepSeek-TUI/security/advisories/GHSA-wx44-2q6h-j6p8 · Nota
• https://github.com/Hmbown/DeepSeek-TUI · Nota
• https://github.com/Hmbown/DeepSeek-TUI/releases/tag/v0.8.23 · Nota
• https://twitter.com/VulmonFeeds/status/2060100014597091379 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wx44-2q6h-j6p8 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2060091968512766213 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-45311 · Nota de Segurança