CVE-2026-101080

ŚrednieCVSS 4.8

Opublikowano: 28/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wykryto podatność w Tencent AI-Infra-Guard do 4.5.2/4.6.2. Funkcja startsWith w pliku skill_scan/tools/dir/dir_actions.py komponentu File Access prowadzi do path traversal. Atak musi być przeprowadzony lokalnie. Exploit jest publicznie dostępny. Aktualizacja do wersji 4.6.0 łagodzi problem.

Ocena ryzyka

Lokalny atak może umożliwić dostęp do plików poza zamierzonym katalogiem, co może prowadzić do ujawnienia danych lub eskalacji uprawnień.

Rekomendacja

Zaleca się aktualizację do wersji 4.6.0 lub nowszej oraz wdrożenie poprawki o identyfikatorze ac0384edc9dbea3b226edefcf50613bd8509134f.

Inne podatności w Tencent AI-Infra-Guard

CVE-2026-84809Średnie
Komponent skill-scan w Tencent AI-Infra-Guard wyklucza skompilowane pliki bytecode Pythona z analizy, twardo kodując katalogi __pycache__ i rozszerzenia .pyc/.pyo/.pyd na listach pomijania w wielu powierzchniach skanowania. Atakujący mogą rozpowszechniać umiejętności z nieszkodliwymi plikami źródłowymi Pythona obok złośliwego skompilowanego bytecode, który wykonuje się przy imporcie, podczas gdy skaner raportuje bezpieczny werdykt, umożliwiając wykonanie kodu po instalacji umiejętności przez operatorów.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in Tencent AI-Infra-Guard up to 4.5.2/4.6.2. This affects the function startsWith of the file skill_scan/tools/dir/dir_actions.py of the component File Access. The manipulation leads to path traversal. The attack needs to be performed locally. The exploit is publicly available and might be used. Upgrading to version 4.6.0 is able to mitigate this issue. The identifier of the patch is ac0384edc9dbea3b226edefcf50613bd8509134f. You should upgrade the affected component.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS