CVE-2026-15669
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W projekcie louisho5 picobot do wersji 0.2.0 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji ExecTool.Execute w pliku internal/agent/tools/exec.go, gdzie manipulacja danymi wejściowymi prowadzi do wykonania dowolnych poleceń. Atak wymaga dostępu lokalnego, a exploit został opublikowany.
Ocena ryzyka
Organizacja narażona jest na ryzyko przejęcia kontroli nad systemem przez lokalnego atakującego, który może wykonać dowolne polecenia, co może prowadzić do eskalacji uprawnień, kradzieży danych lub uszkodzenia systemu.
Rekomendacja
Należy natychmiast zaktualizować picobot do najnowszej wersji po wydaniu łatki lub tymczasowo wyłączyć komponent exec Tool. Do czasu oficjalnej poprawki zaleca się ograniczenie dostępu lokalnego do systemu.
Inne podatności w picobot
Zobacz wszystkie- CVE-2026-15668Średnie
W bibliotece picobot do wersji 0.2.0 wykryto podatność SSRF w funkcji WebTool.Execute pliku internal/agent/tools/web.go. Manipulacja argumentem url umożliwia zdalne wykonanie żądania po stronie serwera. Projekt nie odpowiedział na zgłoszenie problemu.
- CVE-2026-15629Średnie
W komponencie Workspace Handler projektu louisho5 picobot do wersji 0.2.0 wykryto podatność na podążanie za dowiązaniami (link following). Problem dotyczy funkcji CreateSkill/GetSkill w pliku internal/agent/tools/filesystem.go. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in louisho5 picobot up to 0.2.0. This issue affects the function ExecTool.Execute of the file internal/agent/tools/exec.go of the component exec Tool. The manipulation results in os command injection. The attack requires a local approach. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.