CVE-2026-35002
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Agno w wersjach przed 2.3.24 zawiera podatność na wykonanie dowolnego kodu w komponencie wykonawczym modelu, która pozwala atakującym na wykonanie dowolnego kodu Python poprzez manipulację parametrem field_type przekazywanym do eval(). Atakujący mogą wpłynąć na wartość field_type w FunctionCall, aby osiągnąć zdalne wykonanie kodu.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod Python na serwerze, co może prowadzić do pełnego przejęcia kontroli nad aplikacją i dostępem do danych.
Rekomendacja
Należy natychmiast zaktualizować Agno do wersji 2.3.24 lub nowszej, która zawiera poprawkę uniemożliwiającą manipulację parametrem field_type.
Oryginalny opis (angielski, źródło NVD)
Agno versions prior to 2.3.24 contain an arbitrary code execution vulnerability in the model execution component that allows attackers to execute arbitrary Python code by manipulating the field_type parameter passed to eval(). Attackers can influence the field_type value in a FunctionCall to achieve remote code execution.