CVE-2026-15668
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W bibliotece picobot do wersji 0.2.0 wykryto podatność SSRF w funkcji WebTool.Execute pliku internal/agent/tools/web.go. Manipulacja argumentem url umożliwia zdalne wykonanie żądania po stronie serwera. Projekt nie odpowiedział na zgłoszenie problemu.
Ocena ryzyka
Atakujący może wykorzystać podatność do wysyłania żądań do wewnętrznych zasobów sieciowych, co może prowadzić do ujawnienia danych lub eskalacji ataku w infrastrukturze.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę picobot do najnowszej wersji lub zastosować tymczasowe zabezpieczenie walidujące argument url przed przekazaniem do funkcji WebTool.Execute.
Inne podatności w picobot
Zobacz wszystkie- CVE-2026-15669Średnie
W projekcie louisho5 picobot do wersji 0.2.0 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji ExecTool.Execute w pliku internal/agent/tools/exec.go, gdzie manipulacja danymi wejściowymi prowadzi do wykonania dowolnych poleceń. Atak wymaga dostępu lokalnego, a exploit został opublikowany.
- CVE-2026-15629Średnie
W komponencie Workspace Handler projektu louisho5 picobot do wersji 0.2.0 wykryto podatność na podążanie za dowiązaniami (link following). Problem dotyczy funkcji CreateSkill/GetSkill w pliku internal/agent/tools/filesystem.go. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in louisho5 picobot up to 0.2.0. This vulnerability affects the function WebTool.Execute of the file internal/agent/tools/web.go of the component web Tool. The manipulation of the argument url leads to server-side request forgery. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. The project was informed of the problem early through an issue report but has not responded yet.