CVE-2026-31236
Qu'est-ce que CVE-2026-31236 ?
L'outil CLI llm jusqu'à la version 0.27.1 contient une vulnérabilité critique d'injection de code via son argument de ligne de commande --functions. Cet argument est destiné à permettre aux utilisateurs de fournir des définitions de fonctions Python personnalisées. Cependant, l'outil exécute directement le code fourni à l'aide de la fonction unsafe exec() sans aucune restriction de nettoyage, de sandboxing ou de sécurité. Un attaquant peut exploiter cela en créant une commande llm malveillante avec du code Python arbitraire dans l'argument --functions et en utilisant l'ingénierie sociale pour inciter une victime à l'exécuter. Cela conduit à l'exécution de code arbitraire sur le s de la victime.
FAQ
CVE-2026-31236 a un score CVSS de N/D/10, évalué comme Inconnu. Consultez la liste des produits affectés et appliquez les correctifs du fournisseur.
Le CVSS (Common Vulnerability Scoring System) évalue la gravité des vulnérabilités de 0,0 à 10,0. CVE-2026-31236 obtient N/D/10 (Inconnu). Les scores de 9,0–10,0 sont Critiques, 7,0–8,9 Élevés, 4,0–6,9 Moyens et inférieurs à 4,0 Faibles.
La liste des appareils confirmés comme étant affectés par CVE-2026-31236 est indiquée dans la section "Appareils affectés" ci-dessus. Comparez votre version de firmware avec l'avis de sécurité du fournisseur et appliquez le dernier correctif.
Appliquez la dernière mise à jour du firmware ou du logiciel du fournisseur. Consultez la section Références ci-dessus pour les avis officiels et les notes de correctif. Si aucun correctif n'est disponible, envisagez de désactiver la fonctionnalité affectée ou d'isoler l'appareil des réseaux non fiables.