MiniMax Code: CVE-2026-120275 afecta Find Command

El registro CVE-2026-120275 atribuye a MiniMax Code 0.5.8 una inyección de comandos del sistema operativo en Find Command Handler. La CNA identifica la manipulación del argumento -exec como el origen del fallo y lo clasifica como un ataque remoto, pero el registro también exige privilegios bajos e interacción del usuario. No describe un ataque anónimo que se active al abrir cualquier proyecto, ni detalla las condiciones de cada flujo de uso.

El identificador se publicó el 1 de noviembre a las 23:00 UTC, y la ficha de VulDB indica que el exploit se hizo público y podría utilizarse. Esa afirmación no demuestra explotación observada: no aporta víctimas, campañas ni incidentes asociados. Tampoco ofrece suficiente detalle sobre el mecanismo interno, las restricciones de Find Command Handler o qué acción concreta debe realizar la víctima, así que atribuirle una cadena de ataque más precisa sería inventar pasos que la fuente no documenta.

-SecureCrew dice: “remoto” describe una clasificación del vector; no convierte automáticamente una herramienta local en una puerta abierta a cualquiera.-

Una versión afectada y varias releases posteriores

La CNA marca como afectada la versión 0.5.8. La página oficial de releases confirma que ese paquete salió el 28 de septiembre y que después aparecieron las versiones 0.5.9, 0.5.10 y varias 0.6.x; la release más reciente que muestra GitHub es 0.7.2, del 31 de octubre. El registro CVE no etiqueta una versión corregida, y las notas de release consultadas no vinculan esos saltos con esta vulnerabilidad.

Por eso hay que leer juntos ambos datos: el registro no extiende expresamente el impacto a todas las versiones posteriores, pero tampoco prueba que 0.7.2 la corrija. El estado prudente es que el CVE identifica 0.5.8 y que la situación de las releases posteriores no queda resuelta en esas fuentes. Para una instalación concreta, la versión mostrada por el programa y una nota explícita del mantenedor pesan más que inferir una corrección a partir de que el número subió.

-SecureCrew dice: una versión más nueva es una pista de mantenimiento; para llamarla parche hace falta que alguien ate los dos cabos.-

Qué significa para quien administra la herramienta

La clase del fallo importa porque la inyección de comandos puede hacer que una entrada procesada por una función de búsqueda termine interpretada por el sistema operativo. El registro no documenta qué permisos hereda el proceso ni qué archivos o cuentas quedarían al alcance; no es correcto prometer ejecución con privilegios máximos ni reducir el impacto a una alerta inocua. Su vector apunta además a interacción y privilegios bajos, factores que forman parte de la evaluación del escenario.

Quien mantenga MiniMax Code debería comprobar si usa 0.5.8 y revisar si su flujo invoca Find Command Handler con entradas que no controla. La fuente CVE no publica una mitigación, y la página de releases no identifica 0.7.2 como corrección. No hay una instrucción universal de parcheo respaldada por esas fuentes: la acción inmediata más sólida es seguir el aviso del proyecto y no tratar el exploit público citado por la CNA como prueba de ataques en curso.

El caso también recuerda que una función de búsqueda puede cruzar la frontera entre datos y órdenes del sistema. Eso no significa que todo uso de MiniMax Code exponga al operador; significa que la versión, el handler, el origen de la entrada y la interacción requerida determinan si el informe encaja con un entorno concreto. Sin respuesta del mantenedor sobre builds corregidas, la incertidumbre debe quedarse visible en cualquier inventario de riesgo.

Diccionario de la Crew

CVE — Identificador público para referirse a una vulnerabilidad concreta.
CNA — Organización autorizada por el programa CVE para asignar y publicar registros.
Inyección de comandos — Fallo que permite que una entrada se interprete como una orden del sistema operativo.
Find Command Handler — Componente de MiniMax Code que procesa operaciones de búsqueda descritas en el registro CVE.