CVE-2026-16194
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W zhayujie CowAgent do wersji 2.1.1 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji WebFetch.execute pliku agent/tools/web_fetch/web_fetch.py. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem url, a exploit został publicznie ujawniony.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub dalszej eskalacji ataku.
Rekomendacja
Należy niezwłocznie zaktualizować CowAgent do wersji 2.1.2, która zawiera poprawkę oznaczoną jako ea47f3097eed4f8295c4cb3d76ecb97e0f43d632.
Inne podatności w CowAgent
Zobacz wszystkie- CVE-2026-18992Średnie
Wykryto podatność w zhayujie CowAgent do wersji 2.1.1. Dotyczy funkcji _select_tools w pliku agent/evolution/executor.py komponentu Self-Evolution Review Agent. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-15332Średnie
W zhayujie CowAgent do wersji 2.1.0 wykryto lukę bezpieczeństwa w pliku channel/channel.py w komponencie Message Endpoint. Brak autoryzacji w nieznanej funkcji umożliwia zdalne ataki bez uwierzytelnienia. Exploit został opublikowany i może być wykorzystywany w atakach.
- CVE-2026-15331Średnie
W zhayujie CowAgent do wersji 2.1.0 wykryto podatność na path traversal w funkcji _add_url/_add_package pliku agent/skills/service.py. Manipulacja argumentem Name umożliwia zdalne wykonanie ataku.
- CVE-2026-15329Średnie
W zhayujie CowAgent do wersji 2.1.0 wykryto podatność w funkcji BrowserTool._do_navigate pliku agent/tools/browser/browser_tool.py. Manipulacja danymi wejściowymi prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in zhayujie CowAgent up to 2.1.1. This affects the function WebFetch.execute of the file agent/tools/web_fetch/web_fetch.py. Executing a manipulation of the argument url can lead to server-side request forgery. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. Upgrading to version 2.1.2 is able to mitigate this issue. This patch is called ea47f3097eed4f8295c4cb3d76ecb97e0f43d632. It is recommended to upgrade the affected component. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.