ouroboros-ai: correção de denylist incompleta para CVE-2026-47211
A denylist da correção do CVE-2026-47211 estava incompleta; várias variáveis de ambiente de roteamento de execução foram omitidas, permitindo RCE via carregamento automático de .
O que mudou
A denylist da correção do CVE-2026-47211 estava incompleta; várias variáveis de ambiente de roteamento de execução foram omitidas, permitindo RCE via carregamento automático de .env malicioso ou config MCP baseada no diretório atual. Corrigido na versão 0.42.1 adicionando todas as chaves omitidas a _UNTRUSTED_ENV_DENYLIST e removendo o branch de descoberta automática do diretório atual.
Quem isso afeta
Todos os usuários do ouroboros-ai anteriores a 0.42.1 que executam a ferramenta a partir de repositórios não confiáveis ou clonados.
O que fazer hoje
Atualize para a versão 0.42.1 imediatamente. Não execute o Ouroboros a partir de um diretório de repositório não confiável; remova qualquer .env e ./.ouroboros/mcp_servers.yaml do diretório do projeto antes de executar.