PT-2026-50494 · Npm · @Earendil-Works/Pi-Coding-Agent+1

Urianpaul94 · Publicado 2026-06-17 · Atualizado 2026-06-23 · CVE-2026-54328

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas @earendil-works/pi-coding-agent versões 0.74.0 a 0.78.0 @mariozechner/pi-coding-agent versões 0.50.0 a 0.73.1

Description Pi é um harness de codificação de terminal minimalista que utilizava caminhos previsíveis no diretório temporário do sistema operacional para instalações temporárias de pacotes de extensão npm ou git. Em sistemas multiusuário baseados em Linux com diretórios temporários compartilhados, um invasor local poderia pré-criar o local do pacote esperado. Quando uma vítima executa o Pi com uma fonte de pacote de extensão temporária usando as flags --extension ou -e, o software pode carregar código de extensão controlado pelo invasor no processo do usuário vítima. Isso ocorre porque a raiz de instalação temporária do npm e os caminhos de clone do git eram determinísticos e baseados em os.tmpdir()/pi-extensions. Como as extensões são executadas com os mesmos privilégios do processo invocador, isso pode levar à execução de código arbitrário, perda de dados ou negação de serviço. Este problema afeta principalmente ambientes compartilhados, como runners de CI, nós de login de HPC e máquinas de desenvolvimento compartilhadas.

Recommendations Atualize o @earendil-works/pi-coding-agent para a versão 0.78.1 ou posterior. Migre o @mariozechner/pi-coding-agent para o @earendil-works/pi-coding-agent versão 0.78.1 ou posterior. Como solução temporária, evite usar as flags --extension ou -e com fontes de pacotes npm ou git em sistemas Linux compartilhados. Como mitigação adicional, configure o ambiente de diretório temporário do processo para apontar para um diretório de propriedade do usuário invocador com permissões 0700 antes de iniciar a aplicação.

Correção

Enumeração de Fraquezas

CWE-379

Identificadores relacionados

CVE-2026-54328

GHSA-JFGX-WXX8-MP94

Produtos afetados

@Earendil-Works/Pi-Coding-Agent

@Mariozechner/Pi-Coding-Agent

Referências · 8

• https://github.com/earendil-works/pi/security/advisories/GHSA-jfgx-wxx8-mp94 · Nota
• https://github.com/earendil-works/pi/commit/a98e087e5d08ea2a536bf73dbb0aebb87c3ef72e · Nota
• https://github.com/earendil-works/pi/commit/ea3465a8e371a12d0167a06b60f93878e3a3df44 · Nota
• https://github.com/earendil-works/pi/pull/5345 · Nota
• https://github.com/earendil-works/pi · Nota
• https://github.com/earendil-works/pi/releases/tag/v0.78.1 · Nota
• https://osv.dev/vulnerability/GHSA-jfgx-wxx8-mp94 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-54328 · Nota de Segurança