Vulnerabilidad en HAI Build Code Generator (CVE-2026-30308)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-94 Control incorrecto de generación de código (Inyección de código)

Fecha de publicación:

30/03/2026

Última modificación:

08/04/2026

Descripción

En su diseño para la ejecución automática de comandos de terminal, HAI Build Code Generator ofrece dos opciones: Ejecutar comandos seguros y Ejecutar todos los comandos. La descripción de la primera opción establece que los comandos determinados por el modelo como seguros se ejecutarán automáticamente, mientras que si el modelo juzga que un comando es potencialmente destructivo, aún requiere la aprobación del usuario. Sin embargo, este diseño es altamente susceptible a ataques de *prompt injection*. Un atacante puede emplear una plantilla genérica para envolver cualquier comando malicioso y engañar al modelo para que lo clasifique erróneamente como un comando &#39;seguro&#39;, eludiendo así el requisito de aprobación del usuario y resultando en la ejecución arbitraria de comandos.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto