CVE-2026-42077
ŚrednieCVSS 5.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W Evolver przed wersją 1.69.3 występuje podatność prototype pollution w module przechowywania skrzynki pocztowej. Funkcje _applyUpdate() i _updateRecord() używają Object.assign() do łączenia danych kontrolowanych przez użytkownika bez filtrowania niebezpiecznych kluczy, takich jak __proto__, constructor czy prototype.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe właściwości do Object.prototype, zmieniając zachowanie wszystkich obiektów JavaScript w aplikacji. Może to prowadzić do obejścia zabezpieczeń lub wykonania kodu.
Rekomendacja
Zaktualizuj Evolver do wersji 1.69.3 lub nowszej. Do czasu aktualizacji rozważ walidację danych wejściowych trafiających do modułu skrzynki pocztowej.
Inne podatności w Evolver
Zobacz wszystkie- CVE-2026-42076Krytyczne
Evolver to silnik AI z funkcją samodzielnego rozwoju, który przed wersją 1.69.3 miał podatność na wstrzykiwanie poleceń w funkcji _extractLLM(). Umożliwia to atakującym wykonywanie dowolnych poleceń powłoki na serwerze poprzez nieprawidłowe przetwarzanie parametrów.
- CVE-2026-42075Wysokie
Evolver to silnik AI, który przed wersją 1.69.3 miał podatność na traversję ścieżek w komendzie pobierania umiejętności. Atakujący mogli zapisywać pliki w dowolnych lokalizacjach na systemie plików, co stwarzało ryzyko nadpisania krytycznych plików systemowych.
Oryginalny opis (angielski, źródło NVD)
Evolver is a GEP-powered self-evolving engine for AI agents. Prior to version 1.69.3, a prototype pollution vulnerability in the mailbox store module allows attackers to modify the behavior of all JavaScript objects by injecting malicious properties into Object.prototype. The vulnerability exists in the _applyUpdate() and _updateRecord() functions which use Object.assign() to merge user-controlled data without filtering dangerous keys like __proto__, constructor, or prototype. This issue has been patched in version 1.69.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS