CVE-2026-37003
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
Agno w wersji do 2.5.8 włącznie jest podatny na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie promptu. Komponenty PythonTools i ShellTools przekazują niesanityzowane argumenty generowane przez LLM bezpośrednio do funkcji wykonawczych, takich jak exec(), runpy.run_path() i subprocess.run(). Nieuwierzytelniony atakujący może to wykorzystać, osadzając złośliwe instrukcje w treści przetwarzanej przez agenta (np. strony internetowe lub dokumenty), co pozwala na wykonanie dowolnego kodu i poleceń systemu operacyjnego na serwerze.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad serwerem, wykonać dowolny kod, ukraść dane lub zainstalować złośliwe oprogramowanie.
Rekomendacja
Zaktualizuj Agno do najnowszej wersji. Sanityzuj i waliduj wszystkie argumenty przekazywane do narzędzi wykonawczych oraz ogranicz uprawnienia procesu.
Inne podatności w Agno
Zobacz wszystkie- CVE-2026-108820Średnie
W systemie agno-agi agno do wersji 3.0.6/3.1.1 wykryto podatność w funkcji member_agent.run w bibliotece libs/agno/agno/team/_default_tools.py w komponencie Delegation Feature. Wykonanie manipulacji może prowadzić do wykonania z niepotrzebnymi uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-108819Wysokie
Podatność w agno-agi agno do wersji 3.0.6/3.1.1 dotyczy funkcji exec w warstwie Agent Orchestration Layer, umożliwiając zdalne wykonanie dynamicznie zarządzanego kodu.
- CVE-2026-108818Wysokie
Podatność w agno-agi agno do wersji 2.7.3/3.0.6 dotyczy funkcji get_authentication_dependency w pliku auth.py, gdzie manipulacja argumentem security_key prowadzi do braku uwierzytelnienia.
- CVE-2026-108817Średnie
W systemie agno-agi agno do wersji 3.0.9 wykryto podatność w funkcji agno.CodingTools.run_shell w bibliotece libs/agno/agno/tools/coding.py w komponencie CodingTools. Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-108816Średnie
W systemie agno-agi agno do wersji 3.0.6 wykryto podatność w funkcji run_python_code pliku python.py w komponencie PythonTools. Manipulacja argumentem code prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-35002Krytyczne
Agno w wersjach przed 2.3.24 zawiera podatność na wykonanie dowolnego kodu w komponencie wykonawczym modelu, która pozwala atakującym na wykonanie dowolnego kodu Python poprzez manipulację parametrem field_type przekazywanym do eval(). Atakujący mogą wpłynąć na wartość field_type w FunctionCall, aby osiągnąć zdalne wykonanie kodu.
- CVE-2026-76832Wysokie
PythonTools w Agno (libs/agno/agno/tools/python.py) zawiera podatność na path traversal, umożliwiającą atakującym odczyt, zapis lub wykonanie dowolnych plików poprzez podanie sekwencji typu '../../' w argumencie file_name w akcjach read_file, save_to_file lub run_python_file. Atak może być przeprowadzony przez bezpośrednie wywołanie narzędzia lub przez wstrzyknięcie promptu w treści przetwarzanej przez agenta.
- CVE-2026-10105Wysokie
W bibliotece agno w wersji 2.6.5 wykryto podatność na wstrzykiwanie SQL w backendzie bazy danych ClickHouse. Luka występuje w metodzie delete_by_metadata() w pliku clickhousedb.py, która niebezpiecznie interpoluje klucze i wartości metadanych do zapytań SQL. Atakujący może wstrzyknąć dowolne wyrażenia SQL, co umożliwia usunięcie wszystkich wierszy, wybranie konkretnych danych lub ich wyodrębnienie poprzez błędy lub ślepe wstrzykiwanie SQL.
Oryginalny opis (angielski, źródło NVD)
Agno up to and including 2.5.8 is vulnerable to Remote Code Execution (RCE) via prompt injection. The PythonTools and ShellTools components pass unsanitized, LLM-generated arguments directly to execution sinks including exec(), runpy.run_path(), and subprocess.run(). An unauthenticated attacker can exploit this by embedding malicious instructions in content processed by the agent (such as web pages or documents), allowing for arbitrary code and OS command execution on the host server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS