CVE-2026-14617
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W komponencie Streaming Reasoning Tag Filter biblioteki NousResearch hermes-agent do wersji 2026.4.30 wykryto podatność polegającą na nieprawidłowym obsługiwaniu wielkości liter w funkcji GatewayStreamConsumer._filter_and_accumulate. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność. Projekt zdecydował się nie wdrażać dedykowanej łatki, uznając koszty utrzymania za zbyt wysokie.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwym zdalnym ataku, który może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi, jednak ze względu na wysoką złożoność i trudność wykorzystania, prawdopodobieństwo udanego ataku jest niskie.
Rekomendacja
Zaleca się monitorowanie publicznie dostępnych exploitów oraz rozważenie zastosowania tymczasowych zabezpieczeń, takich jak filtrowanie danych wejściowych lub ograniczenie dostępu do komponentu, do czasu ewentualnej aktualizacji.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in NousResearch hermes-agent up to 2026.4.30. Affected is the function GatewayStreamConsumer._filter_and_accumulate of the file gateway/stream_consumer.py of the component Streaming Reasoning Tag Filter. The manipulation leads to improper handling of case sensitivity. The attack may be initiated remotely. The attack's complexity is rated as high. The exploitability is told to be difficult. The exploit has been disclosed publicly and may be used. The project decided to not implement a dedicated fix: "[T]he analysis and the fix are both sound. It just lands below the bar for the maintenance cost of a duplicated scrub path."