Apa yang terjadi
NVD mempublikasikan cluster 10 CVE terhadap Warp pada 2026-06-24, semuanya dipatch dalam rilis stable yang sama. Bug-bug ini mencakup seluruh agent attack surface: alat AI agent code-search yang membangun shell commands dari search patterns (CVE-2026-48703), command denylist bypass dalam non-interactive CLI agent profile (CVE-2026-48721), malicious terminal output menulis file lokal via OSC escape (CVE-2026-48720), crafted Git branch names menyebabkan command injection dalam prompt (CVE-2026-48719), legacy SSH session command injection via remote working directory (CVE-2026-48732), dan clipboard exfiltration oleh terminal output (CVE-2026-48725).
Mengapa penting
Warp adalah AI-first terminal yang banyak digunakan oleh developer yang menjalankan AI coding agents (Claude Code, Cursor, Copilot) di dalamnya. Bug-bug ini berarti repositori berbahaya, remote host, atau webpage dapat mengeksekusi code di mesin developer melalui agent execution surface Warp sendiri — lingkungan yang tepat di mana AI coding agents memiliki elevated trust dan akses filesystem/shell yang luas.
Vektor serangan
Multiple vectors: (1) malicious Markdown file dengan local-file link mengeksekusi via OS file handler; (2) OSC 1337;File terminal payload menulis arbitrary local files; (3) crafted Git branch name diinjeksi ke dalam prompt branch selector mengeksekusi OS commands; (4) CLI agent command denylist bypass via unsandboxed agent profile; (5) SSH remote working directory injection dalam legacy SSH path; (6) Grep/FileGlob agent tools membangun shell commands dari attacker-controlled input; (7) terminal clipboard access diminta oleh malicious remote host
Sistem yang terdampak
Warp terminal < 0.2026.05.06.15.42.stable_01 (multiple CVEs: CVE-2026-48704, CVE-2026-48719, CVE-2026-48720, CVE-2026-48721, CVE-2026-48731, CVE-2026-48732, CVE-2026-48703, CVE-2026-48725, CVE-2026-54699, CVE-2026-54686)
Mitigasi
Upgrade ke Warp 0.2026.05.06.15.42.stable_01 atau lebih baru. Semua CVE diperbaiki dalam rilis yang sama. References: https://github.com/warpdotdev/warp (individual commit links per CVE dalam NVD)