CVE-2026-12537
CVE-2026-12537 · Unauthenticated Remote Code Execution in Gemini CLI CI/CD Workflows
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Improper Neutralization used in an OS Command in the container launcher in Google Gemini CLI (versions prior to 0.39.1) and run-gemini-cli GitHub Action (versions prior to 0.1.22) on headless CI platforms allows an unprivileged attacker to achieve pre-sandbox host-level code execution a maliciously crafted .gemini/.env file.
CVSS 10.0 · Critique · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
gemini cli
- Versions du logiciel
- ≥ 0, < 0.39.1: Concernée (custom)
Mettez à jour vers 0.39.1
run-gemini-cli github action
- Versions du logiciel
- ≥ 0, < 0.1.22: Concernée (custom)
Mettez à jour vers 0.1.22
@google/gemini-cli npm
- Plages de versions concernées
- SEMVER: < 0.39.1
Mettez à jour vers 0.39.1
@google/gemini-cli npm
- Versions du logiciel
- 0.40.0-preview.2
- Plages de versions concernées
- SEMVER: ≥ 0.40.0-preview.2, < 0.40.0-preview.3
Mettez à jour vers 0.40.0-preview.3
google-github-actions/run-gemini-cli GitHub Actions
- Versions du logiciel
- v0.1.21
- v0.1.20
- v0.1.19
- v0.1.18
- v0.1.17
- v0.1.16
- v0.1.15
- v0.1.14
- v0.1.13
- v0.1.12
- v0.1.11
- v0.1.10
- v0.1.9
- v0.1.8
- v0.1.7
- v0.1.6
- v0.1.5
- v0.1.4
- v0.1.3
- v0.1.2
- v0.1.1
- Plages de versions concernées
- ECOSYSTEM: < 0.1.22
- GIT: < f77273f4c914e4bf38440cf36a0369cb64a37489
Mettez à jour vers 0.1.22