CVE-2026-109330

W Network-AI (npm network-ai) przed wersją 5.15.2 wykryto błąd walidacji pochodzenia w McpSseServer._handleRequest w lib/mcp-transport-sse.ts, który odzwierciedla localhost Origins w nagłówku Access-Control-Allow-Origin niezależnie od interfejsu wiązania. Gdy serwer wiąże adres niepętlowy, strona atakującego z Origin localhost odwiedzona przez ofiarę może odczytać nieuwierzytelnione endpointy, takie jak /health, w trybie cross-origin.

Network-AI od wersji 5.14.0 przed 5.15.2 zawiera podatność obejścia kontroli bezpieczeństwa w hooku ClaudeHookBridge PreToolUse, który dopasowuje wzorce deny tylko do pierwszego obecnego pola kandydata. Agent z prompt injection może umieścić niebezpieczne ładunki w polach takich jak Write content lub parametr skryptu MCP obok nieszkodliwego file_path lub command, omijając denyPatterns w celu zapisania web shelli lub wykonania skryptów.

Podatność w bibliotece Network-AI (TypeScript/Node.js) przed wersją 5.9.1 umożliwia ominięcie listy dozwolonych poleceń powłoki. Atakujący może wykonać dowolne polecenia przez wstrzyknięcie znaków specjalnych (np. `;`).

Network-AI przed wersją 5.15.1 zawiera podatność polegającą na obejściu matchera zabezpieczeń, gdzie SandboxPolicy ocenia surowe ciągi poleceń z zachowanymi cudzysłowami, podczas gdy executor tokenizuje polecenia, usuwając cudzysłowy przed wykonaniem. Atakujący mogą tworzyć polecenia z cudzysłowami, które omijają listy blokad i bramki zatwierdzania, podczas gdy executor wykonuje identyczne niecytowane niebezpieczne argv.

Network-AI ClaudeHookBridge przed wersją 5.15.1 obcina ciąg docelowy do 500 znaków przed oceną denyPatterns, podczas gdy Claude Code wykonuje pełne, nieobcięte polecenie. Atakujący mogą umieścić niebezpieczną treść poza 500 bajtem w polu polecenia Bash, aby ominąć twardą listę blokad operatora i wykonać dowolne polecenia.

W Network-AI (TypeScript/Node.js multi-agent orchestrator) przed wersją 5.12.2 wykryto podatność polegającą na zaufaniu polu 'path' w pliku manifestu kopii zapasowej. Atakujący może umieścić złośliwy manifest, powodując usunięcie dowolnego pliku lub katalogu podczas operacji przycinania kopii zapasowych.

Podatność w Network-AI (wersje 5.0.0-5.12.1) w komponencie ApprovalInbox. Serwer HTTP nie wymaga uwierzytelnienia i ustawia nagłówek Access-Control-Allow-Origin: *, co pozwala każdemu, kto może wysłać żądanie HTTP (w tym strony internetowe w przeglądarce operatora), na zatwierdzanie oczekujących akcji wysokiego ryzyka bez zgody człowieka.

Podatność w Network-AI (wersje przed 5.12.2) w mechanizmie piaskownicy plików. Sprawdzanie ścieżek opiera się na prefiksie tekstowym, co pozwala agentowi na odczyt plików z katalogów o podobnej nazwie (np. /tmp/network-ai-sandbox_evil) poza zamierzonym katalogiem piaskownicy.

Podatność w Network-AI (wersje przed 5.12.2) w funkcji backupu środowiska. Funkcja _collectBackupFiles() podąża za dowiązaniami symbolicznymi, co pozwala atakującemu na umieszczenie dowiązania do katalogu zewnętrznego i skopiowanie jego zawartości do archiwum kopii zapasowej.

Podatność w Network-AI (wersje przed 5.12.2) w funkcji przywracania środowiska. Funkcja restore() nie sprawdza, czy ścieżka kopii zapasowej znajduje się w dozwolonym katalogu, co pozwala na podanie identyfikatora z sekwencją ../ i przywrócenie plików z dowolnego katalogu.