CVE-2026-42075

Wysokie

Opublikowano: 04/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Evolver to silnik AI, który przed wersją 1.69.3 miał podatność na traversję ścieżek w komendzie pobierania umiejętności. Atakujący mogli zapisywać pliki w dowolnych lokalizacjach na systemie plików, co stwarzało ryzyko nadpisania krytycznych plików systemowych.

Ocena ryzyka

Podatność ta może prowadzić do poważnych naruszeń bezpieczeństwa, w tym do nadpisania ważnych plików systemowych lub umieszczenia złośliwego oprogramowania w wrażliwych lokalizacjach.

Rekomendacja

Zaleca się aktualizację do wersji 1.69.3 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów walidacji ścieżek w aplikacji.

Inne podatności w Evolver

CVE-2026-42076Krytyczne
Evolver to silnik AI z funkcją samodzielnego rozwoju, który przed wersją 1.69.3 miał podatność na wstrzykiwanie poleceń w funkcji _extractLLM(). Umożliwia to atakującym wykonywanie dowolnych poleceń powłoki na serwerze poprzez nieprawidłowe przetwarzanie parametrów.

Oryginalny opis (angielski, źródło NVD)

Evolver is a GEP-powered self-evolving engine for AI agents. Prior to version 1.69.3, a path traversal vulnerability in the skill download (fetch) command allows attackers to write files to arbitrary locations on the filesystem. The --out= flag accepts user-provided paths without validation, enabling directory traversal attacks that can overwrite critical system files or create files in sensitive location. This issue has been patched in version 1.69.3.