CVE-2026-15621
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W komponencie File Tools biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi. Luka występuje w funkcjach read_file, write_file i edit_file w pliku tools/fs_ops.go. Atak wymaga dostępu lokalnego.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do plików lub ich modyfikacji poprzez dowiązania symboliczne, co może prowadzić do eskalacji uprawnień lub naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki mosaxiv clawlet do najnowszej dostępnej wersji, jeśli taka istnieje, lub zastosowanie tymczasowych zabezpieczeń uniemożliwiających lokalne wykorzystanie luki.
Inne podatności w mosaxiv clawlet
Zobacz wszystkie- CVE-2026-16017Średnie
W mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa w funkcji list/remove w pliku tools/tool_cron.go komponentu cron Chat Tool. Brak autoryzacji umożliwia zdalne manipulowanie danymi. Exploit został opublikowany, a zgłoszony problem na GitHub zamknięto jako „nieplanowany”.
- CVE-2026-15620Średnie
W bibliotece mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji tools.webFetch pliku tools/tool_web_fetch.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15619Średnie
W komponencie IPv4 Handler biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji web_fetch w pliku tools/tool_web_fetch.go, gdzie manipulacja argumentem url umożliwia atakującemu wysyłanie żądań do wewnętrznych zasobów. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15618Średnie
W komponencie exec Safety Guard biblioteki mosaxiv clawlet do wersji 0.2.10 wykryto lukę bezpieczeństwa. Funkcja guardExecCommand w pliku tools/tool_exec.go nie zapewnia skutecznej ochrony, co umożliwia zdalne obejście mechanizmów zabezpieczających. Publicznie udostępniono exploit, a zgłoszenie na GitHubie zamknięto etykietą „nieplanowane”.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in mosaxiv clawlet up to 0.2.10. This impacts the function read_file/write_file/edit_file of the file tools/fs_ops.go of the component File Tools. Performing a manipulation results in link following. The attack needs to be approached locally. The reported GitHub issue was closed with the label "not planned".