Apa yang terjadi
Injeksi perintah OS di Sed Command Filter Zcode memungkinkan eksekusi kode jarak jauh melalui permukaan perintah agen. CVSS 6.3, diterbitkan 2026-10-26, eksploit telah diungkapkan secara publik.
Mengapa penting
Zcode adalah asisten coding agen yang mengeksekusi perintah shell (misalnya sed) di mesin pengembang; injeksi perintah di filter memberikan instruksi yang terinjeksi prompt atau jalur input berbahaya primitif eksekusi kode.
Vektor serangan
Sed Command Filter di Zcode meneruskan input yang tidak tepercaya ke pemanggilan sed shell tanpa quoting yang aman, memungkinkan injeksi perintah OS yang dapat dipicu dari jarak jauh oleh penyerang (atau instruksi terinjeksi prompt yang diproses agen). Eksploit publik telah diungkapkan.
Sistem yang terdampak
Z.ai Zcode hingga 3.14.3 / 3.15.1 (Sed Command Filter).
Mitigasi
Tingkatkan ke versi yang telah diperbaiki; batasi/validasi input yang mencapai filter sed dan hindari argumen perintah yang tidak tepercaya.