PT-2026-45033 · Ouroboros · Ouroboros

CVE-2026-47211 · Publicado 2026-05-29 · Atualizado 2026-08-03

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Ouroboros versões anteriores a 0.39.0

Description Um problema de Execução Remota de Código ocorre quando o software carrega um arquivo .env do diretório de trabalho atual. Um invasor pode incluir um script malicioso em um repositório e usar variáveis de ambiente como OUROBOROS CLI PATH ou OPENCODE CLI PATH para apontar para esse script. Quando um usuário executa comandos como ouroboros init ou qualquer comando que instancie o adaptador dentro desse diretório, o script malicioso é executado em vez da CLI pretendida, podendo levar ao controle total do sistema.

Recommendations Atualize para a versão 0.39.0 ou posterior. Como medida paliativa temporária, inspecione manualmente o arquivo .env em repositórios clonados em busca de substituições inesperadas de OUROBOROS * CLI PATH ou OPENCODE CLI PATH antes de executar comandos.

Correção

Untrusted Search Path

Enumeração de Fraquezas

CWE-426

Identificadores relacionados

CVE-2026-47211

GHSA-C4M7-2GWP-VW76

PYSEC-2026-2857

Produtos afetados

Ouroboros

Referências · 9

• https://github.com/Q00/ouroboros · Nota
• https://github.com/Q00/ouroboros/commit/4e70b760b4eb157469b58645339ba831f6513d37 · Nota
• https://github.com/Q00/ouroboros/pull/1078 · Nota
• https://github.com/Q00/ouroboros/security/advisories/GHSA-c4m7-2gwp-vw76 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-47211 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-c4m7-2gwp-vw76 · Aviso do Fabricante
• https://pypi.org/project/ouroboros-ai · Nota
• https://osv.dev/vulnerability/PYSEC-2026-2857 · Aviso do Fabricante
• https://github.com/advisories/GHSA-c4m7-2gwp-vw76 · Nota