Cognition افزونه‌ی متن‌باز Devin Vulnerability Fixes را منتشر کرد. این افزونه شامل سه مهارت ایجنتی (Agent Skills) با مجوز MIT است که برای رفع سه آسیب‌پذیری بحرانی remote code execution طراحی شده: PHP2Shell، مجموعه‌ی CVEهای انتشار اکتبر ۲۰۲۶ Node.js و آسیب‌پذیری GitLab با شماره‌ی CVE-2026-110264 که امتیاز CVSS 10.0 دارد.

این مهارت‌ها نه‌تنها در Devin، بلکه در هر ایجنت کدنویسی که فایل SKILL.md را می‌خواند اجرا می‌شوند: Claude Code، Codex، Cursor، Factory Droid، GitHub Copilot، Gemini CLI، OpenCode و Windsurf. برای اجرا به git، shell، Docker و دسترسی registry نیاز است و نصب با npx skills نیازمند Node.js نسخه‌ی 22.20 یا بالاتر است.

چه چیزی را پوشش می‌دهد؟#

PHP2Shell شامل دو CVE است که PHP هر دو را با CVSS v4.0 امتیاز 9.2 رتبه‌بندی کرده. نسخه‌های رفع‌شده 8.2.35، 8.3.36، 8.4.27 و 8.5.12 هستند؛ PHP 8.1 و قدیمی‌تر نسخه‌ی رفع دریافت نمی‌کنند. Node.js اکتبر ۲۰۲۶ ده CVE را رفع می‌کند که چهار مورد High هستند؛ باگ اصلی CVE-2026-111497 یک out-of-bounds write در decoder براتلی است. نسخه‌های رفع‌شده 22.23.4، 24.22.1 و 26.12.1 هستند. GitLab CVE-2026-110264 یک integer overflow در regular expression compiler است که اجرای کد بدون احراز هویت را ممکن می‌کند و از نسخه‌ی 7.0 به بعد GitLab CE/EE را درگیر می‌کند.

روش کار#

هر مهارت پنج مرحله را دنبال می‌کند:

  1. فهرست‌برداری فقط‌خواندنی: اسکن Dockerfiles، base images، بسته‌های توزیع، CI، Helm، Terraform، Packer و Lambda.
  2. دروازه‌ی تأیید: تا انتخاب مخزن توسط کاربر، هیچ تغییری اعمال نمی‌شود.
  3. تأیید هدف: هر tag، digest و checksum مقابل منبع رسمی بررسی می‌شود.
  4. تست قبل و بعد: مجموعه‌ی تست روی نسخه‌ی فعلی و سپس در تصویر production جدید اجرا می‌شود.
  5. یک PR برای هر مخزن: شامل نسخه‌ها، نتایج تست، diffهای runtime، برچسب ریسک و طرح rollback.

تفاوت با ابزارهای موجود#

Dependabot، Copilot Autofix و Snyk Agent Fix روی وابستگی‌های سطح برنامه و کد منبع کار می‌کنند. افزونه‌ی Cognition لایه‌ی runtime را هدف می‌گیرد: base images، بسته‌های سیستم‌عاملی و زیرساخت‌به‌عنوان‌کد. هیچ benchmark رفع‌نرخ یا عدد عملکردی برای این افزونه منتشر نشده است.

خوانش تحریریه#

این افزونه برای تیم‌هایی که مخازن متعددی با base images قدیمی و بسته‌های سیستم‌عاملی آسیب‌پذیر دارند، ابزار عملی است. اما دو محدودیت مهم دارد: اعتبارسنجی نهایی فقط به اندازه‌ی پوشش تست‌های خودتان قوی است، و runtimeهای managed، applianceها و اپ‌های Electron فقط flag می‌شوند نه patch. اگر تست‌نویسی شما ضعیف است، این افزونه شما را از یک PR معیوب نجات نمی‌دهد. همچنین، پوشش آن به سه advisory خاص محدود است؛ برای آسیب‌پذیری‌های روز بعد باید منتظر مهارت جدید باشید یا خودتان بنویسید.

منبع: MarkTechPost