무슨 일이 있었나
Zcode의 Sed 명령 필터에서 OS 명령 주입으로 에이전트의 명령 표면을 통한 원격 코드 실행이 가능합니다. CVSS 6.3, 2026-10-26 게시, 익스플로잇 공개.
왜 중요한가
Zcode는 개발자 머신에서 셸 명령(예: sed)을 실행하는 에이전트형 코딩 어시스턴트입니다; 필터에서의 명령 주입은 프롬프트 주입된 명령 또는 악성 입력 경로에 코드 실행 프리미티브를 제공합니다.
공격 경로
Zcode의 Sed 명령 필터는 안전한 인용 없이 신뢰할 수 없는 입력을 셸 sed 호출에 전달하여, 공격자(또는 에이전트가 처리하는 프롬프트 주입된 명령)가 원격으로 트리거할 수 있는 OS 명령 주입을 가능하게 합니다. 공개 익스플로잇이 공개되었습니다.
영향받는 시스템
Z.ai Zcode 3.14.3 / 3.15.1까지 (Sed 명령 필터).
완화 방안
패치된 버전으로 업그레이드하십시오; sed 필터에 도달하는 입력을 제한/검증하고 신뢰할 수 없는 명령 인수를 피하십시오.