CVE-2026-19010
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W TinyAGI 0.0.20 wykryto podatność w funkcji processMessage w pliku packages/main/src/index.ts komponentu Message API Endpoint. Brak autoryzacji umożliwia zdalny atak. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykorzystać brak autoryzacji do nieautoryzowanego dostępu do funkcji API, co może prowadzić do naruszenia poufności lub integralności danych.
Rekomendacja
Należy wdrożyć odpowiednią autoryzację dla endpointów API. Zaleca się skontaktowanie z producentem w celu uzyskania poprawki lub zastosowanie tymczasowych zabezpieczeń.
Inne podatności w TinyAGI
Zobacz wszystkie- CVE-2026-19011Średnie
W TinyAGI 0.0.20 wykryto podatność w funkcji buildSystemPrompt pliku packages/server/src/routes/agents.ts, która umożliwia włączenie plików. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-19009Wysokie
W TinyAGI 0.0.20 wykryto podatność w funkcji collectFiles w pliku packages/core/src/response.ts komponentu Message API Endpoint. Manipulacja prowadzi do włączenia plików (file inclusion). Atak może być przeprowadzony zdalnie, exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in TinyAGI 0.0.20. Impacted is the function processMessage of the file packages/main/src/index.ts of the component Message API Endpoint. Such manipulation leads to missing authorization. The attack can be launched remotely. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.