CVE-2026-14783
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W narzędziu hermes-agent w wersji 2026.5.29.2 odkryto podatność na przejście ścieżki (path traversal) w funkcji skill_view pliku tools/skills_tool.py. Atakujący może zdalnie manipulować argumentem Name, co prowadzi do nieautoryzowanego dostępu do plików. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego odczytu lub zapisu plików poza zamierzonym katalogiem, co może prowadzić do wycieku danych lub przejęcia kontroli nad systemem.
Rekomendacja
Należy niezwłocznie zastosować łatkę dostępną pod identyfikatorem 56f833efa427ccb444c0f9ad1759af1012f2124d, która usuwa podatność.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in NousResearch hermes-agent 2026.5.29.2. The impacted element is the function skill_view of the file tools/skills_tool.py. Executing a manipulation of the argument Name can lead to path traversal. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized. This patch is called 56f833efa427ccb444c0f9ad1759af1012f2124d. It is advisable to implement a patch to correct this issue.