CVE-2026-33234
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W AutoGPT (wersje 0.1.0 do 0.6.51) blok SendEmailBlock akceptuje od użytkownika parametry smtp_server i smtp_port i przekazuje je bezpośrednio do smtplib.SMTP() bez walidacji adresu IP, omijając zabezpieczenia SSRF. Uwierzytelniony użytkownik może przeprowadzić skanowanie portów wewnętrznych i fingerprinting usług.
Ocena ryzyka
Atakujący może skanować wewnętrzną sieć i identyfikować usługi, co może prowadzić do dalszych ataków na wewnętrzne zasoby.
Rekomendacja
Zaktualizuj AutoGPT do wersji 0.6.52 lub nowszej, która zawiera poprawkę.
Inne podatności w AutoGPT
Zobacz wszystkie- CVE-2026-55237Wysokie
AutoGPT, platforma do automatyzacji procesów, ma podatność XSS w wersjach przed 0.6.62 na stronie rejestracji. Aplikacja niewłaściwie ufa parametrowi URL (`next`), co pozwala atakującemu na wykonanie złośliwego kodu JavaScript w przeglądarce ofiary.
- CVE-2025-32437Wysokie
AutoGPT przed wersją 0.6.63 ma problem z zarządzaniem przestrzenią dyskową, ponieważ `MediaDurationBlock` pobiera i przechowuje wideo w katalogu tymczasowym bez usuwania go po zakończeniu przetwarzania. `StepThroughItemsBlock` pozwala na wielokrotne iterowanie `MediaDurationBlock`, co może prowadzić do wyczerpania przestrzeni dyskowej.
- CVE-2025-32436Wysokie
AutoGPT przed wersją 0.6.63 ma problem z zarządzaniem przestrzenią dyskową, ponieważ nie usuwa plików wideo i audio z katalogu tymczasowego. Dodatkowo, blok `StepThroughItemsBlock` nie ogranicza liczby iteracji, co może prowadzić do wyczerpania dostępnej przestrzeni dyskowej.
- CVE-2025-32424Wysokie
AutoGPT to platforma automatyzacji procesów, która przed wersją 0.6.63 miała problem z blokiem ScreenshotWebPageBlock, który przechowywał zrzuty ekranu w katalogu tymczasowym. Blok StepThroughItemsBlock nie ograniczał liczby iteracji, co mogło prowadzić do wyczerpania przestrzeni dyskowej i ataku typu DoS.
- CVE-2026-72922Wysokie
AutoGPT przed wersją 0.6.70 zawiera podatność w trasie webhook_ingress_generic, która nie weryfikuje dostawcy webhooka, co pozwala na ominięcie weryfikacji podpisu i wykonanie generycznego webhooka jako właściciel.
- CVE-2025-32423Średnie
W AutoGPT przed wersją 0.6.32 występuje podatność DoS w bloku ExtractTextInformationBlock. Złośliwy użytkownik może wysłać 10 KB treści, co powoduje zużycie 50 GB pamięci serwera, prowadząc do wyczerpania zasobów i odmowy usługi.
- CVE-2026-45023Średnie
W AutoGPT przed wersją 0.6.59 endpoint POST /api/blocks/{block_id}/execute umożliwia wykonywanie bloków bez sprawdzania salda kredytów użytkownika. Mechanizm kontroli kredytów istniejący w ścieżce wykonywania grafów (manager.py) nie jest wywoływany przy bezpośrednim wywołaniu bloków przez zewnętrzne API, co pozwala na nieograniczone darmowe wykonywanie wszystkich bloków.
- CVE-2026-33233Wysokie
AutoGPT w wersjach 0.6.34 do 0.6.51 deserializuje dane z Redis za pomocą pickle.loads bez weryfikacji integralności. Atakujący, który może zatruć klucz w Redis, może uzyskać zdalne wykonanie kodu w kontenerze backendu.
- CVE-2026-33232Wysokie
AutoGPT w wersjach 0.4.2 do 0.6.51 jest podatny na atak DoS przez endpoint download_agent_file, który tworzy trwałe pliki tymczasowe dla każdego żądania, ale nie usuwa ich po obsłużeniu. Nieuwierzytelniony atakujący może wielokrotnie wywoływać ten endpoint, wyczerpując miejsce na dysku i powodując awarię systemu.
- CVE-2026-30950Wysokie
AutoGPT w wersjach 0.6.36 do 0.6.50 jest podatny na przejęcie sesji uwierzytelnionego użytkownika poprzez IDOR. Atakujący może przejąć sesję innego użytkownika, znając jego session_id.
Oryginalny opis (angielski, źródło NVD)
AutoGPT is a workflow automation platform for creating, deploying, and managing continuous artificial intelligence agents. In versions 0.1.0 through 0.6.51, SendEmailBlock in autogpt_platform/backend/backend/blocks/email_block.py accepts a user-supplied smtp_server (string) and smtp_port (integer) as per-execution block inputs, then passes them directly to Python's smtplib.SMTP() to open a raw TCP connection with no IP address validation. This completely bypasses the platform's hardened SSRF protections in backend/util/request.py — the validate_url_host() function and BLOCKED_IP_NETWORKS blocklist that every other block uses to block connections to private, loopback, link-local, and cloud metadata addresses. An authenticated user on a shared AutoGPT deployment can use this to perform non-blind internal network port scanning and service fingerprinting: smtplib reads the target's TCP banner on connect and embeds it in the exception message, which is persisted as user-visible block output via the execution framework. This issue has been fixed in version 0.6.52.