PT-2026-45558 · Steipete+1 · Codexbar

Hinotoi-Agent · CVE-2026-49135 · Publicado 2026-06-01 · Atualizado 2026-07-22

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.2

Alta

Vetor base

AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas CodexBar versões anteriores a 0.32.0

Description O manuseio inseguro de arquivos temporários no fluxo de trabalho de notarização de lançamento permite que atacantes locais acessem credenciais sensíveis ou adulterem artefatos de compilação. Isso é possível ao explorar caminhos de arquivos previsíveis, permitindo que atacantes no mesmo host leiam a chave de API do App Store Connect gravada em um caminho fixo. Além disso, atacantes podem pré-criar arquivos ou links simbólicos em locais previsíveis para redirecionar gravações para destinos controlados pelo atacante ou modificar arquivos de notarização antes do envio.

Recommendations Atualize o CodexBar para a versão 0.32.0 ou posterior.

Exploit

Correção

Link Following

Enumeração de Fraquezas

CWE-59

CWE-377

Identificadores relacionados

CVE-2026-49135

Produtos afetados

Codexbar

Referências · 9

• 🔥 https://github.com/steipete/CodexBar/pull/1228 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/49xxx/CVE-2026-49135.json · Exploit
• https://github.com/steipete/CodexBar/commit/e7d932616508cee43ea9bcc63c269b14698de655 · Correção
• https://github.com/steipete/CodexBar · Nota
• https://github.com/steipete/CodexBar/releases/tag/v0.32.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-49135 · Nota de Segurança
• https://t.me/cveNotify/211646 · Publicação no Telegram
• https://vulncheck.com/advisories/codexbar-insecure-temporary-file-handling-in-notarization-workflow · Nota
• https://osv.dev/vulnerability/CVE-2026-49135 · Aviso do Fabricante