CVE-2026-19009
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W TinyAGI 0.0.20 wykryto podatność w funkcji collectFiles w pliku packages/core/src/response.ts komponentu Message API Endpoint. Manipulacja prowadzi do włączenia plików (file inclusion). Atak może być przeprowadzony zdalnie, exploit jest publiczny.
Ocena ryzyka
Zdalny atakujący może wykorzystać podatność do włączenia nieautoryzowanych plików, co może prowadzić do ujawnienia wrażliwych informacji lub wykonania kodu.
Rekomendacja
Należy zabezpieczyć funkcję collectFiles przed włączaniem plików, stosując odpowiednią walidację i ograniczenia. Zaleca się aktualizację TinyAGI po uzyskaniu poprawki.
Inne podatności w TinyAGI
Zobacz wszystkie- CVE-2026-19011Średnie
W TinyAGI 0.0.20 wykryto podatność w funkcji buildSystemPrompt pliku packages/server/src/routes/agents.ts, która umożliwia włączenie plików. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-19010Wysokie
W TinyAGI 0.0.20 wykryto podatność w funkcji processMessage w pliku packages/main/src/index.ts komponentu Message API Endpoint. Brak autoryzacji umożliwia zdalny atak. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in TinyAGI 0.0.20. This issue affects the function collectFiles of the file packages/core/src/response.ts of the component Message API Endpoint. This manipulation causes file inclusion. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.