A flaw was found in Goose. When the terminal integration feature is enabled, the application...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Goose のターミナル連携機能を有効にすると、シェルのコマンド履歴がマスキングされないまま、設定された LLM プロバイダーのエンドポイントに送信されるおそれがあります。ターミナルに入力された API トークンやパスワードなどの機密情報が外部へ漏えいする可能性があり、深刻度は High、CVSS v3 は 7.4 です。修正版の情報は確認できていないため、最新の情報を確認してください。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| Red Hat | Red Hat Enterprise Linux 10 | — | — |
| Red Hat | Red Hat Enterprise Linux 9 | — | — |
Description d'origine La description telle que publiée par la source (souvent en anglais).
A flaw was found in Goose. When the terminal integration feature is enabled, the application captures shell command history and sends it verbatim without sanitization to configured Large Language Model (LLM) provider endpoints during queries. If a user enters sensitive data—such as API tokens, passwords, or environment variables containing secrets—in the terminal, this unredacted information is transmitted across trust boundaries. This can lead to sensitive information disclosure, exposing confidential credentials to external service providers and logs.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
Références
- web secalert@redhat.com
- web secalert@redhat.com
- web nvd.nist.gov
- web github.com