CVE-2026-57208 Recorrido de directorios en los metadatos de checkpoint de Entire CLI

Qué es CVE-2026-57208

Un atacante con acceso de push al repositorio de checkpoints puede crear metadatos maliciosos que, al ejecutar session resume o checkpoint rewind, escriben datos fuera del directorio de sesión esperado. Un SessionID con rutas absolutas o secuencias de recorrido puede sobrescribir archivos arbitrarios en la máquina de la víctima. Corregido en la versión 0.7.7.

Productos y versiones afectadas

• entireio cli

  • < 0.7.7

Qué hacer

1. Verificá si usás cli y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 6.2 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:L/VA:N/SC:N/SI:H/SA:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Activa

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Baja

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Alta

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Alta

Abrir la calculadora completa →

Descripción original

Entire CLI hooks into Git workflows to capture AI agent sessions. Prior to version 0.7.7, a path traversal vulnerability in Entire CLI allows an attacker with push access to the checkpoints repository to craft malicious checkpoint metadata that causes entire session resume or entire checkpoint rewind to write attacker-controlled transcript data outside of the expected session directory. The issue occurs because checkpoint metadata is fetched from the remote entire/checkpoints/v1 branch and the SessionID field was used to construct filesystem paths without validation in the restore path. A malicious SessionID containing absolute paths or path traversal sequences could cause arbitrary files on the victim’s machine to be overwritten. This issue has been patched in version 0.7.7.

Referencias

• github.com/entireio/cli/security/advisories/GHSA-2h46-9x5w-4wf7X_REFSOURCE_CONFIRM
• github.com/entireio/cli/pull/1365X_REFSOURCE_MISC
• github.com/entireio/cli/pull/1449X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 11:56VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.