PT-2026-50493 · Npm · @Earendil-Works/Pi-Coding-Agent+1

Urianpaul94

·

Publicado

2026-06-17

·

Atualizado

2026-06-23

·

CVE-2026-54327

CVSS v3.1

2.2

Baixa

VetorAV:L/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas @mariozechner/pi-coding-agent versões 0.28.0 a 0.73.1 @earendil-works/pi-coding-agent versões 0.74.0 a 0.78.0
Description Uma condição de corrida (race condition) no caminho de gravação de arquivos da implementação de armazenamento de credenciais permite que o arquivo auth.json, que armazena chaves de API e tokens de acesso e atualização OAuth, seja criado ou reescrito com permissões derivadas do umask do processo antes de ser restringido apenas ao proprietário. Um usuário local com acesso de leitura e travessia ao diretório de configuração do agente Pi poderia potencialmente ler o arquivo durante o intervalo entre a gravação do arquivo e a correção das permissões. Este problema não é explorável remotamente e requer acesso local à máquina.
Recommendations Atualizar @mariozechner/pi-coding-agent para @earendil-works/pi-coding-agent versão 0.78.1 ou posterior. Atualizar @earendil-works/pi-coding-agent para a versão 0.78.1 ou posterior. Rotacionar quaisquer credenciais que possam ter sido expostas em sistemas multiusuário onde o diretório de configuração era legível por outros usuários locais. Restringir o diretório de configuração do agente Pi apenas ao usuário proprietário, definir permissões de apenas proprietário para o arquivo auth.json e executar a aplicação com um umask restritivo, como 077, como medida paliativa temporária.

Correção

Incorrect Permission

Time Of Check To Time Of Use

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-54327
GHSA-R95R-RJ6R-C39X

Produtos afetados

@Earendil-Works/Pi-Coding-Agent
@Mariozechner/Pi-Coding-Agent