GHSA-jqmf-mx4f-hfr6
Ferramentas chamáveis por LLM do Vibe-Trading permitem execução de comandos, injeção de código e SSRF
Traduzido automaticamente do inglês.
5 achados — sink de injeção de shell BashTool (F6, o primitivo RCE canônico), sink de injeção de shell async BackgroundRunTool (F7), exec_module() do backtest executa declarações de nível superior antes da verificação da classe SignalEngine (F8 — caminho RCE independente que não corresponde às assinaturas do BashTool), encaminhamento HTTP externo read_url sem validação de esquema/host (F-B4 SSRF) e geração de código Jinja2 com autoescape…
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 10.0 (v3.1)
- Pacotes afetados
- vibe-trading-ai (pip) >= 0.1.0, < 0.1.7, corrigido em 0.1.7 · GHSA-jqmf-mx4f-hfr6