Apa yang terjadi
Diterbitkan 2026-10-12 (CVSS 4.2, CWE-863) oleh VulnCheck. Diverifikasi melalui NVD REST API.
Mengapa penting
Bypass mode persetujuan di perkakas agen secara diam-diam mengalahkan preferensi 'persetujuan manual' eksplisit pengguna, pos pemeriksaan manusia terakhir sebelum tindakan perkakas yang disuntikkan prompt dijalankan.
Vektor serangan
update_goose_mode tidak pernah membersihkan anotasi baca-saja yang dipertahankan; perkakas yang dianotasi readOnlyHint:true dieksekusi tanpa meminta di PermissionInspector::inspect bahkan setelah pengguna memilih Mode Persetujuan Manual, memungkinkan panggilan perkakas yang disuntikkan prompt berjalan tanpa disetujui.
Sistem yang terdampak
goose (alat pengkodean agen) 1.28.0 – sebelum 1.44.0
Mitigasi
Tingkatkan goose ke 1.44.0 (perbaikan commit b0f4e2a; PR #10528).