CVE-2026-101079

NiskieCVSS 2.8

Opublikowano: 28/09/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Podatność w agentverus-scanner do wersji 0.8.1 dotyczy funkcji isSecurityDefenseSkill w pliku dist/scanner/analyzers/context.js. Manipulacja prowadzi do opierania decyzji bezpieczeństwa na niezaufanych danych wejściowych, a atak musi być zainicjowany lokalnie. Exploit został publicznie ujawniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie problemu.

Ocena ryzyka

Lokalny atakujący może wpłynąć na decyzje bezpieczeństwa podejmowane przez skaner, co może prowadzić do błędnych wyników analizy lub obejścia mechanizmów ochronnych. Ponieważ exploit jest publiczny, ryzyko wykorzystania jest zwiększone.

Rekomendacja

Ze względu na brak reakcji projektu należy rozważyć zaprzestanie używania agentverus-scanner lub wdrożenie własnych poprawek, a także ograniczyć lokalny dostęp do narzędzia do zaufanych użytkowników.

Inne podatności w agentverus-scanner

CVE-2026-84811Średnie
Skaner agentverus-scanner nie analizuje skompilowanych plików bytecode Pythona w katalogach towarzyszących, co pozwala atakującym ominąć skanowanie bezpieczeństwa poprzez umieszczenie złośliwych wpisów __pycache__ obok nieszkodliwych plików źródłowych. Atakujący mogą wykonać dowolny bytecode Pythona podczas importu, podczas gdy skaner raportuje certyfikowany werdykt z wysokimi wynikami zaufania.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in agentverus agentverus-scanner up to 0.8.1. Affected by this vulnerability is the function isSecurityDefenseSkill of the file dist/scanner/analyzers/context.js. Performing a manipulation results in reliance on untrusted inputs in a security decision. The attack must be initiated from a local position. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS