CVE-2026-108816

Agno w wersji do 2.5.8 włącznie jest podatny na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie promptu. Komponenty PythonTools i ShellTools przekazują niesanityzowane argumenty generowane przez LLM bezpośrednio do funkcji wykonawczych, takich jak exec(), runpy.run_path() i subprocess.run(). Nieuwierzytelniony atakujący może to wykorzystać, osadzając złośliwe instrukcje w treści przetwarzanej przez agenta (np. strony internetowe lub dokumenty), co pozwala na wykonanie dowolnego kodu i poleceń systemu operacyjnego na serwerze.

Agno w wersjach przed 2.3.24 zawiera podatność na wykonanie dowolnego kodu w komponencie wykonawczym modelu, która pozwala atakującym na wykonanie dowolnego kodu Python poprzez manipulację parametrem field_type przekazywanym do eval(). Atakujący mogą wpłynąć na wartość field_type w FunctionCall, aby osiągnąć zdalne wykonanie kodu.

W systemie agno-agi agno do wersji 3.0.6/3.1.1 wykryto podatność w funkcji member_agent.run w bibliotece libs/agno/agno/team/_default_tools.py w komponencie Delegation Feature. Wykonanie manipulacji może prowadzić do wykonania z niepotrzebnymi uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

Podatność w agno-agi agno do wersji 3.0.6/3.1.1 dotyczy funkcji exec w warstwie Agent Orchestration Layer, umożliwiając zdalne wykonanie dynamicznie zarządzanego kodu.

Podatność w agno-agi agno do wersji 2.7.3/3.0.6 dotyczy funkcji get_authentication_dependency w pliku auth.py, gdzie manipulacja argumentem security_key prowadzi do braku uwierzytelnienia.

W systemie agno-agi agno do wersji 3.0.9 wykryto podatność w funkcji agno.CodingTools.run_shell w bibliotece libs/agno/agno/tools/coding.py w komponencie CodingTools. Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

PythonTools w Agno (libs/agno/agno/tools/python.py) zawiera podatność na path traversal, umożliwiającą atakującym odczyt, zapis lub wykonanie dowolnych plików poprzez podanie sekwencji typu '../../' w argumencie file_name w akcjach read_file, save_to_file lub run_python_file. Atak może być przeprowadzony przez bezpośrednie wywołanie narzędzia lub przez wstrzyknięcie promptu w treści przetwarzanej przez agenta.

W bibliotece agno w wersji 2.6.5 wykryto podatność na wstrzykiwanie SQL w backendzie bazy danych ClickHouse. Luka występuje w metodzie delete_by_metadata() w pliku clickhousedb.py, która niebezpiecznie interpoluje klucze i wartości metadanych do zapytań SQL. Atakujący może wstrzyknąć dowolne wyrażenia SQL, co umożliwia usunięcie wszystkich wierszy, wybranie konkretnych danych lub ich wyodrębnienie poprzez błędy lub ślepe wstrzykiwanie SQL.