CVE-2026-18394

WysokieCVSS 7.4

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 04/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

W Strands Agents Tools przed wersją 0.8.2 występuje nieprawidłowa autoryzacja w narzędziu http_request, która może pozwolić zdalnym atakującym na uzyskanie poświadczeń skonfigurowanych przez HTTP_REQUEST_TOKEN_CONFIG poprzez nakłonienie LLM do kierowania żądań przez infrastrukturę proxy kontrolowaną przez atakującego.

Ocena ryzyka

Atakujący może przechwycić wrażliwe poświadczenia, co prowadzi do nieautoryzowanego dostępu do chronionych zasobów.

Rekomendacja

Należy zaktualizować Strands Agents Tools do wersji 0.8.2 lub nowszej.

Inne podatności w Strands Agents Tools

CVE-2026-15746Średnie
W narzędziu elasticsearch_memory pakietu strands-agents-tools wykryto podatność SSRF. Parametry połączenia (es_url, cloud_id, api_key) były kontrolowane przez model językowy, a pominięcie api_key powodowało wysłanie klucza API operatora do dowolnego hosta wskazanego przez LLM.

Oryginalny opis (angielski, źródło NVD)

Incorrect authorization in the http_request tool in Strands Agents Tools before 0.8.2 might allow remote attackers to obtain credentials configured via HTTP_REQUEST_TOKEN_CONFIG by influencing the LLM to route requests through actor-controlled proxy infrastructure. To remediate this issue, users should upgrade to version 0.8.2.