CVE-2026-15629
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W komponencie Workspace Handler projektu louisho5 picobot do wersji 0.2.0 wykryto podatność na podążanie za dowiązaniami (link following). Problem dotyczy funkcji CreateSkill/GetSkill w pliku internal/agent/tools/filesystem.go. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
Ocena ryzyka
Organizacja narażona jest na zdalne odczytywanie lub modyfikację plików poza zamierzonym katalogiem roboczym, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować picobot do najnowszej dostępnej wersji lub zastosować tymczasowe reguły WAF blokujące manipulacje ścieżkami w żądaniach do funkcji CreateSkill/GetSkill.
Inne podatności w picobot
Zobacz wszystkie- CVE-2026-15669Średnie
W projekcie louisho5 picobot do wersji 0.2.0 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji ExecTool.Execute w pliku internal/agent/tools/exec.go, gdzie manipulacja danymi wejściowymi prowadzi do wykonania dowolnych poleceń. Atak wymaga dostępu lokalnego, a exploit został opublikowany.
- CVE-2026-15668Średnie
W bibliotece picobot do wersji 0.2.0 wykryto podatność SSRF w funkcji WebTool.Execute pliku internal/agent/tools/web.go. Manipulacja argumentem url umożliwia zdalne wykonanie żądania po stronie serwera. Projekt nie odpowiedział na zgłoszenie problemu.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in louisho5 picobot up to 0.2.0. Impacted is the function CreateSkill/GetSkill of the file internal/agent/tools/filesystem.go of the component Workspace Handler. Executing a manipulation can lead to link following. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.