投稿者: Ron E, 9月3日 説明O-CMS バージョン 1.0.0 には、AI CLI 設定機能における認証済み OS コマンドインジェクションの脆弱性が含まれています。十分な権限を持つ認証済み攻撃者は、/admin/settings/save の ai_cli_script パラメータを通じてシェルメタ文字と追加コマンドを提供できます。設定された AI プロバイダーが後続の /admin/settings/test-ai を介してテストされると、攻撃者が制御した CLI 値が実行されます。