Cline 4.1.18 يغلق ثغرة على Windows كانت تشغّل ملفات تنفيذية مزروعة داخل المستودع

أصدرت أداة البرمجة بالذكاء الاصطناعي Cline الإصدار 4.1.18، وفيه إصلاح لخلل أمني على Windows. فبحسب سجل التغييرات، كان فتح مستودع يحتوي على ملف باسم مثل git.exe أو rg.exe أو powershell.exe يؤدي إلى تشغيل هذا الملف بدلًا من البرنامج الحقيقي.

السبب في طريقة Windows في البحث عن البرامج. حين يستدعي برنامج أمرًا باسمه المجرد، مثل git، يبحث النظام أولًا في مجلد العمل الحالي، قبل المرور على المسارات المسجلة في متغير PATH. ويصف سجل التغييرات النتيجة بأن ملفًا تنفيذيًا مزروعًا في المستودع كان يعمل بصلاحيات المستخدم بمجرد فهرسة مساحة العمل.

أي أن الأمر لم يكن يتطلب نقرة ولا موافقة، ولا يظهر أي تحذير. فتح المستودع وبدء الفهرسة كانا كافيين.

الإصلاح أن Cline أصبح يفعّل عند التشغيل إعدادًا في Windows اسمه NoDefaultCurrentDirectoryInExePath، يمنع البحث في المجلد الحالي عن الملفات التنفيذية، وتورث العمليات التي يشغّلها الإعداد نفسه. وقد طُبّق الإصلاح في إضافة VS Code وفي النواة المستخدمة في بيئات JetBrains.

الجانب الأوسع أن هذا السلوك جزء من Windows لا من Cline. فأي أداة تفتح مستودعًا وتنفّذ أوامر داخله على Windows معرّضة للنمط نفسه، والفارق هنا أن هذه الأداة أصدرت إصلاحًا وأعلنت عنه.

ويأتي ذلك في مرحلة أصبح فيها المطورون يفتحون مستودعات لا يعرفون أصحابها أكثر من أي وقت مضى، أحيانًا لمجرد أن agent اقترحها. ويجعل ذلك تحديث الأداة، أو فتح المستودعات غير الموثوقة داخل container معزول، جزءًا من نموذج التهديد اليومي لمن يعملون على Windows.