CVE-2026-37007

KrytyczneCVSS 9.8

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.69%

Percentyl 51 - wyżej niż 51% wszystkich znanych CVE

Streszczenie

Podatność w komponencie FileWriterTool biblioteki crewai-tools w wersji 1.10.2rc1 i wcześniejszych. Zdalny atakujący może osiągnąć wykonanie kodu poprzez złośliwe sekwencje path traversal w argumencie filename.

Ocena ryzyka

Atakujący może zapisywać pliki w dowolnych lokalizacjach na serwerze, co może prowadzić do wykonania złośliwego kodu i pełnej kompromitacji systemu.

Rekomendacja

Zaktualizuj crewai-tools do wersji z poprawką. Upewnij się, że ścieżki plików są odpowiednio walidowane i nie pozwalają na wyjście poza dozwolone katalogi.

Inne podatności w crewai-tools

CVE-2026-37009Średnie
Podatność SQL injection w komponencie NL2SQLTool biblioteki crewai-tools w wersji 1.10.2rc1. Zdalny atakujący może wykonać dowolne polecenia SQL poprzez niesanityzowany argument sql_query.

Oryginalny opis (angielski, źródło NVD)

A vulnerability in FileWriterTool in crewai-tools <= 1.10.2rc1 allows a remote attacker to achieve code execution via malicious path traversal sequences in the filename argument.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS