CVE-2026-11455
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
W projekcie MetaGPT (FoundationAgents) w wersji do 0.8.2 stwierdzono podatność na wstrzykiwanie poleceń w funkcji check_cmd_exists pliku metagpt/utils/common.py. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego stopnia złożoności. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może potencjalnie wykonać dowolne polecenia systemowe, ale ze względu na wysoką złożoność ataku ryzyko jest umiarkowane.
Rekomendacja
Należy monitorować aktualizacje projektu MetaGPT i rozważyć tymczasowe wyłączenie funkcji wykorzystującej podatny komponent.
Inne podatności w MetaGPT
Zobacz wszystkie- CVE-2026-19060Średnie
W FoundationAgents MetaGPT do wersji 0.8.2 zidentyfikowano podatność związaną z nieznaną funkcją, która umożliwia wstrzyknięcie kodu. Atak wymaga dostępu lokalnego. Exploit jest publicznie dostępny i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-19059Niskie
W FoundationAgents MetaGPT do wersji 0.8.2 wykryto podatność na manipulację ścieżką (path traversal) w funkcji read pliku metagpt/tools/libs/editor.py. Atak wymaga dostępu lokalnego. Exploit został publicznie ujawniony i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-19058Średnie
W FoundationAgents MetaGPT do wersji 0.8.2 znaleziono podatność w funkcji DataInterpreter w pliku metagpt/roles/di/data_interpreter.py, która umożliwia wstrzyknięcie kodu. Atak musi być przeprowadzony lokalnie. Exploit jest publiczny i może być wykorzystany. Producent nie odpowiedział.
- CVE-2026-10566Średnie
W MetaGPT do wersji 0.8.2 funkcja Message.check_instruct_content w pliku metagpt/schema.py jest podatna na deserializację poprzez manipulację argumentem mapping. Atak wymaga dostępu lokalnego.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in FoundationAgents MetaGPT up to 0.8.2. Affected by this issue is the function check_cmd_exists of the file metagpt/utils/common.py. This manipulation of the argument mermaid.path causes command injection. The attack may be initiated remotely. A high degree of complexity is needed for the attack. The exploitation is known to be difficult. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.