CVE-2026-18774

Hermes Agent w wersjach przed 0.16.0 tworzy pliki response_store.db oraz webhook_subscriptions.json z uprawnieniami do odczytu dla wszystkich użytkowników, co naraża historię rozmów oraz sekrety HMAC na dostęp lokalnych użytkowników.

Hermes Agent 0.18.2 przed wersją 0.19.0 zawiera podatność łańcucha dostaw w swoim dołączonym katalogu MCP, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez skompromitowanie zewnętrznego repozytorium nadrzędnego, do którego odwołuje się przez zmienną gałąź zamiast przypiętego skrótu commit. Atakujący, który skompromituje repozytorium nadrzędne, może rozprzestrzenić złośliwy kod na każdy host, który instaluje dotknięty wpis katalogu, bez dalszych działań operatora.

Hermes Agent w wersjach od 0.16.0 do przed 0.17.0 zawiera podatność na nieprawidłowe ograniczenie ścieżek, która pozwala atakującym mającym wpływ na treść przetwarzanych wiadomości na nadpisanie magazynu poświadczeń poprzez ominięcie zabezpieczeń ścieżek wykluczających plik auth.json. Atakujący mogą tworzyć złośliwe wiadomości kierujące narzędziami zapisu plików agenta do nadpisania magazynu poświadczeń bez wyzwalania ochrony opartej na ścieżkach, co umożliwia manipulację poświadczeniami lub nieautoryzowany dostęp.

Wykryto podatność w NousResearch hermes-agent do wersji 0.16.0, dotyczącą nieznanej funkcjonalności w pliku hermes-agent/model_tools.py w komponencie Memory Toolset. Manipulacja prowadzi do nieprawidłowych kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto podatność w NousResearch hermes-agent do wersji 0.16.0. Dotyczy funkcji get_tool_definitions w pliku agent/agent_init.py komponentu disabled_toolsets Handler. Manipulacja powoduje nieprawidłowe przypisanie uprawnień. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.

W produkcie NousResearch hermes-agent do wersji 0.16.0 wykryto podatność w funkcji browser_snapshot pliku tools/browser_tool.py komponentu Browser Tooling. Podatność umożliwia atak typu Server-Side Request Forgery (SSRF), który może być przeprowadzony zdalnie. Szczegóły exploita zostały publicznie ujawnione.

W projekcie NousResearch hermes-agent w wersji 2026.6.5 wykryto podatność w nieznanej funkcjonalności pliku hermes-agent/plugins/platforms/simplex/adapter.py komponentu SimpleX Gateway Authorization. Manipulacja argumentem contactId prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania (wysoki poziom złożoności). Exploit został opublikowany. Łatka jest dostępna pod identyfikatorem 490c486ff65b766d9de0fe0e6f26e1778aaa8fb3.

W narzędziu hermes-agent w wersji 2026.5.29.2 odkryto podatność na przejście ścieżki (path traversal) w funkcji skill_view pliku tools/skills_tool.py. Atakujący może zdalnie manipulować argumentem Name, co prowadzi do nieautoryzowanego dostępu do plików. Exploit został publicznie ujawniony i może być wykorzystany.

W komponencie Live Webhook Endpoint biblioteki hermes-agent (NousResearch) do wersji 2026.5.16 wykryto podatność na path traversal. Funkcja extract_media w pliku gateway/platforms/base.py pozwala na manipulację ścieżką, co umożliwia zdalny atak.

W projekcie NousResearch hermes-agent do wersji 2026.4.30 wykryto słabość w funkcji AIAgent.run_conversation w pliku run_agent.py komponentu HTTP API. Manipulacja argumentem todos prowadzi do odmowy usługi (DoS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.