CVE-2026-109331

W Network-AI (npm network-ai) przed wersją 5.15.2 wykryto błąd walidacji pochodzenia w McpSseServer._handleRequest w lib/mcp-transport-sse.ts, który odzwierciedla localhost Origins w nagłówku Access-Control-Allow-Origin niezależnie od interfejsu wiązania. Gdy serwer wiąże adres niepętlowy, strona atakującego z Origin localhost odwiedzona przez ofiarę może odczytać nieuwierzytelnione endpointy, takie jak /health, w trybie cross-origin.

Podatność w bibliotece Network-AI (TypeScript/Node.js) przed wersją 5.9.1 umożliwia ominięcie listy dozwolonych poleceń powłoki. Atakujący może wykonać dowolne polecenia przez wstrzyknięcie znaków specjalnych (np. `;`).

Network-AI w wersjach od 5.0.0 do 5.15.2 zawiera lukę cross-site WebSocket hijacking w DashboardServer, która pozwala zdalnym atakującym odczytać topologię agentów na żywo, ponieważ handleUpgrade nie wykonuje walidacji Origin ani tokenu. Atakujący mogą zwabić ofiarę uruchamiającą dashboard na złośliwą stronę, która otwiera WebSocket do lokalnego dashboardu i eksfiltruje identyfikatory agentów, role, opisy zadań i budżety tokenów.

Network-AI przed wersją 5.15.1 zawiera podatność polegającą na obejściu matchera zabezpieczeń, gdzie SandboxPolicy ocenia surowe ciągi poleceń z zachowanymi cudzysłowami, podczas gdy executor tokenizuje polecenia, usuwając cudzysłowy przed wykonaniem. Atakujący mogą tworzyć polecenia z cudzysłowami, które omijają listy blokad i bramki zatwierdzania, podczas gdy executor wykonuje identyczne niecytowane niebezpieczne argv.

Network-AI ClaudeHookBridge przed wersją 5.15.1 obcina ciąg docelowy do 500 znaków przed oceną denyPatterns, podczas gdy Claude Code wykonuje pełne, nieobcięte polecenie. Atakujący mogą umieścić niebezpieczną treść poza 500 bajtem w polu polecenia Bash, aby ominąć twardą listę blokad operatora i wykonać dowolne polecenia.

W Network-AI (TypeScript/Node.js multi-agent orchestrator) przed wersją 5.12.2 wykryto podatność polegającą na zaufaniu polu 'path' w pliku manifestu kopii zapasowej. Atakujący może umieścić złośliwy manifest, powodując usunięcie dowolnego pliku lub katalogu podczas operacji przycinania kopii zapasowych.

Podatność w Network-AI (wersje 5.0.0-5.12.1) w komponencie ApprovalInbox. Serwer HTTP nie wymaga uwierzytelnienia i ustawia nagłówek Access-Control-Allow-Origin: *, co pozwala każdemu, kto może wysłać żądanie HTTP (w tym strony internetowe w przeglądarce operatora), na zatwierdzanie oczekujących akcji wysokiego ryzyka bez zgody człowieka.

Podatność w Network-AI (wersje przed 5.12.2) w mechanizmie piaskownicy plików. Sprawdzanie ścieżek opiera się na prefiksie tekstowym, co pozwala agentowi na odczyt plików z katalogów o podobnej nazwie (np. /tmp/network-ai-sandbox_evil) poza zamierzonym katalogiem piaskownicy.

Podatność w Network-AI (wersje przed 5.12.2) w funkcji backupu środowiska. Funkcja _collectBackupFiles() podąża za dowiązaniami symbolicznymi, co pozwala atakującemu na umieszczenie dowiązania do katalogu zewnętrznego i skopiowanie jego zawartości do archiwum kopii zapasowej.

Podatność w Network-AI (wersje przed 5.12.2) w funkcji przywracania środowiska. Funkcja restore() nie sprawdza, czy ścieżka kopii zapasowej znajduje się w dozwolonym katalogu, co pozwala na podanie identyfikatora z sekwencją ../ i przywrócenie plików z dowolnego katalogu.