badlogic pi-mono loader.ts discoverAndLoadExtensions कोड इंजेक्शन

badlogic pi-mono के संस्करण 0.58.4 और उससे पहले में एक कोड इंजेक्शन भेद्यता का पता चला है। यह भेद्यता फ़ाइल packages/coding-agent/src/core/extensions/loader.ts में discoverAndLoadExtensions फ़ंक्शन में मौजूद है। एक हमलावर इस फ़ंक्शन में हेरफेर करके सिस्टम में दुर्भावनापूर्ण कोड इंजेक्ट कर सकता है। रिमोट एक्सप्लॉइटेशन संभव है, जिसका अर्थ है कि एक हमलावर प्रभावित सिस्टम तक भौतिक पहुंच के बिना इस भेद्यता का फायदा उठा सकता है। एक्सप्लॉइट का सार्वजनिक प्रकटीकरण जोखिम को काफी बढ़ाता है, क्योंकि यह दुर्भावनापूर्ण अभिनेताओं द्वारा इसके उपयोग को सुविधाजनक बनाता है। प्रारंभिक सूचनाओं पर विक्रेता की प्रतिक्रिया की कमी से स्थिति और खराब हो गई है, जिससे उपयोगकर्ताओं के पास आधिकारिक समाधान या संभावित पैच या शमन उपायों के बारे में जानकारी नहीं है। यह भेद्यता एक हमलावर को सिस्टम की गोपनीयता, अखंडता और उपलब्धता से समझौता करने की अनुमति दे सकती है।

Applications and services built using the pi-mono Node.js package, particularly those handling untrusted input, are at risk. This includes web applications, backend APIs, and any Node.js-based tools that rely on pi-mono for extension loading. Developers using pi-mono in their projects and DevOps teams responsible for managing Node.js deployments are also at risk.

• nodejs / server:

find / -name 'packages/coding-agent/src/core/extensions/loader.ts' -print0 | xargs -0 grep -i 'discoverAndLoadExtensions'

• nodejs / server:

npm list pi-mono | grep '0.58.0-0.58.4'

• nodejs / server:

journalctl -u your-node-app -g 'pi-mono' --since "1 hour ago"

1. 2026-04-05Disclosure

   disclosure

1. आरक्षित2026-04-04
2. प्रकाशित2026-04-05
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-12

विक्रेता द्वारा समाधान की कमी को देखते हुए, एक पैच संस्करण जारी होने तक pi-mono का उपयोग करने से दृढ़ता से बचने की सिफारिश की जाती है। यदि pi-mono का उपयोग करना पूरी तरह से आवश्यक है, तो अस्थायी शमन उपायों को लागू किया जाना चाहिए। इनमें discoverAndLoadExtensions फ़ंक्शन तक पहुंच को प्रतिबंधित करना, इस फ़ंक्शन को प्रदान किए गए सभी इनपुट को सख्ती से मान्य करना और दुर्भावनापूर्ण गतिविधि के संकेतों के लिए सिस्टम की लगातार निगरानी करना शामिल हो सकता है। नेटवर्क विभाजन और न्यूनतम विशेषाधिकार के सिद्धांत भी संभावित शोषण के प्रभाव को सीमित करने में मदद कर सकते हैं। pi-mono से संबंधित किसी भी सुरक्षा अपडेट के बारे में हमेशा सूचित रहना और उपलब्ध होने पर किसी भी पैच को तुरंत लागू करना महत्वपूर्ण है। विक्रेता की प्रतिक्रिया की कमी इस भेद्यता के प्रबंधन में एक सक्रिय दृष्टिकोण की आवश्यकता होती है।