CVE-2026-50510

Nieprawidłowe ograniczenie nazw zasobów w GitHub Copilot umożliwia lokalne RCE

CVSS 7.8v3.1pub. 2026-07-14upd. 2026-07-22

Podatność w GitHub Copilot polega na nieprawidłowym ograniczaniu nazw plików i innych zasobów, co umożliwia nieautoryzowanemu atakującemu lokalne wykonanie kodu. Wysokie oceny wpływu na poufność, integralność i dostępność czynią tę podatność poważnym zagrożeniem dla stacji roboczych użytkowników narzędzia.

▸ Pokaż oryginał (EN)

Improper restriction of names for files and other resources in Github Copilot allows an unauthorized attacker to execute code locally.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-641 oznacza, że aplikacja nie nakłada odpowiednich restrykcji na nazwy plików lub innych zasobów tworzonych bądź otwieranych w systemie. Atakujący może spreparować specjalnie skonstruowaną nazwę zasobu, która po przetworzeniu przez GitHub Copilot prowadzi do wykonania złośliwego kodu w kontekście lokalnym. Wektor ataku jest lokalny, nie wymaga wysokich uprawnień, lecz wymaga interakcji użytkownika (UI:R), co sugeruje, że ofiara musi np. otworzyć odpowiednio przygotowany plik lub projekt.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na wykonanie dowolnego kodu na lokalnej maszynie ofiary, co może prowadzić do pełnego przejęcia kontroli nad systemem, kradzieży danych lub instalacji złośliwego oprogramowania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o dostępnych aktualizacjach znajdują się w Microsoft Security Response Center pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50510