CVE-2026-10219
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 68 - wyżej niż 68% wszystkich znanych CVE
Streszczenie
Podatność w GoClaw do wersji 3.11.3 włącznie, w funkcji FsBridge.WriteFile pliku internal/sandbox/fsbridge.go, umożliwia zdalne wykonanie poleceń systemowych poprzez manipulację narzędziem write_file.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia na serwerze, co prowadzi do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zastosuj oczekującą poprawkę z pull requesta lub zaktualizuj GoClaw po wydaniu łatki.
Inne podatności w GoClaw
Zobacz wszystkie- CVE-2026-18038Średnie
W GoClaw do wersji 3.13.2, w funkcji ExecTool.Execute w pliku goclaw/internal/http/tools_invoke.go, komponent jq Handler jest podatny na ujawnienie informacji poprzez manipulację. Atak może być przeprowadzony zdalnie. Exploit został opublikowany. Łatka nosi nazwę 1230.
- CVE-2026-16199Średnie
W bibliotece GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcji ExecTool.Execute pliku goclaw/internal/tools/credentialed_exec.go. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-16124Średnie
Wykryto podatność w GoClaw do wersji 3.15.0-beta.32, która pozwala na atak SSRF poprzez funkcję CheckSSRF/isPrivateIP w pliku internal/tools/web_shared.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-16123Średnie
W GoClaw do wersji 3.13.2 brakuje autoryzacji w funkcji ToolsInvokeHandler.ServeHTTP w pliku internal/http/tools_invoke.go. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16122Średnie
W bibliotece GoClaw do wersji 3.13.2 wykryto lukę w funkcji extractBin/RequestApproval/matchesAllowlist w pliku internal/tools/exec_approval.go, która prowadzi do nieprawidłowej autoryzacji. Publicznie udostępniono exploit, co umożliwia ataki.
- CVE-2026-16121Średnie
W bibliotece GoClaw do wersji 3.13.2 wykryto podatność w funkcji isSafeBin pliku internal/tools/exec_approval.go. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-16120Średnie
W bibliotece GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcjach matchesAllowlist/extractBin pliku internal/tools/exec_approval.go. Manipulacja danymi wejściowymi może prowadzić do nieprawidłowego rozpoznania nazwy, co umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-16119Średnie
W komponencie WebSocket Approval Endpoint w GoClaw do wersji 3.13.2 wykryto podatność polegającą na nieprawidłowej autoryzacji w funkcji RequestApproval. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15627Średnie
W produkcie nextlevelbuilder GoClaw do wersji 3.13.3-beta.3 wykryto podatność w funkcji handleNavigate pliku pkg/browser/tool.go. Manipulacja argumentem args.targetUrl prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-15626Średnie
W produkcie GoClaw 3.13.3-beta.3 firmy nextlevelbuilder wykryto podatność na path traversal w funkcji writeFile pliku internal/providers/acp/tool_bridge.go komponentu ACP ToolBridge Workspace Handler. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in nextlevelbuilder GoClaw up to 3.11.3. This impacts the function FsBridge.WriteFile of the file internal/sandbox/fsbridge.go of the component write_file Tool. Performing a manipulation results in os command injection. The attack is possible to be carried out remotely. The exploit has been made public and could be used. The pull request to fix this issue awaits acceptance.