CVE-2023-46248

Cody es un asistente de codificación de inteligencia artificial (IA). Las versiones de la extensión Cody AI VSCode 0.10.0 a 0.14.0 son vulnerables a la ejecución remota de código bajo ciertas condiciones. Un atacante que tenga el control de un repositorio malicioso podría modificar el archivo de configuración de Cody `.vscode/cody.json` y sobrescribir los comandos de Cody. Si un usuario con la extensión instalada abre este repositorio malicioso y ejecuta un comando Cody como /explain o /doc, esto podría permitir la ejecución de código arbitrario en la máquina del usuario. La vulnerabilidad está clasificada como de gravedad crítica, pero con baja explotabilidad. Requiere que el usuario tenga cargado un repositorio malicioso y ejecute el comando sobrescrito en VS Code. El problema se puede explotar independientemente de que el usuario bloquee la ejecución del código en un repositorio a través de VS Code Workspace Trust. El problema se encontró durante una prueba de penetración habitual de terceros. Los mantenedores de Cody no tienen evidencia de que los repositorios de código abierto tengan archivos maliciosos `.vscode/cody.json` para explotar esta vulnerabilidad. El problema se solucionó en la versión 0.14.1 de la extensión Cody VSCode. En caso de que los usuarios no puedan actualizar rápidamente, no deben abrir ningún repositorio que no sea de confianza con la extensión Cody cargada.