CVE-2026-15331
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W zhayujie CowAgent do wersji 2.1.0 wykryto podatność na path traversal w funkcji _add_url/_add_package pliku agent/skills/service.py. Manipulacja argumentem Name umożliwia zdalne wykonanie ataku.
Ocena ryzyka
Atakujący może zdalnie odczytać lub nadpisać dowolne pliki w systemie, co prowadzi do naruszenia poufności i integralności danych organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować CowAgent do wersji 2.1.2 lub zastosować patch o identyfikatorze e85290cddcbb5ffc9c235927f4c92e5b4c3ec264.
Inne podatności w CowAgent
Zobacz wszystkie- CVE-2026-18992Średnie
Wykryto podatność w zhayujie CowAgent do wersji 2.1.1. Dotyczy funkcji _select_tools w pliku agent/evolution/executor.py komponentu Self-Evolution Review Agent. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-16194Średnie
W zhayujie CowAgent do wersji 2.1.1 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji WebFetch.execute pliku agent/tools/web_fetch/web_fetch.py. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem url, a exploit został publicznie ujawniony.
- CVE-2026-15332Średnie
W zhayujie CowAgent do wersji 2.1.0 wykryto lukę bezpieczeństwa w pliku channel/channel.py w komponencie Message Endpoint. Brak autoryzacji w nieznanej funkcji umożliwia zdalne ataki bez uwierzytelnienia. Exploit został opublikowany i może być wykorzystywany w atakach.
- CVE-2026-15329Średnie
W zhayujie CowAgent do wersji 2.1.0 wykryto podatność w funkcji BrowserTool._do_navigate pliku agent/tools/browser/browser_tool.py. Manipulacja danymi wejściowymi prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in zhayujie CowAgent up to 2.1.0. The affected element is the function _add_url/_add_package of the file agent/skills/service.py of the component Skill Installation Handler. The manipulation of the argument Name leads to path traversal. The attack may be initiated remotely. Upgrading to version 2.1.2 is sufficient to fix this issue. The identifier of the patch is e85290cddcbb5ffc9c235927f4c92e5b4c3ec264. It is advisable to upgrade the affected component.