CVE-2026-51856

KrytyczneCVSS 9.8

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W agentscope 1.0.18, 1.0.19 i 1.0.19, gdy sesja RealtimeAgent udostępnia execute_python_code jako dostępne narzędzie, zdalny użytkownik WebSocket może nakłonić agenta do wywołania tego narzędzia i uruchomienia kodu Python w środowisku usługi. W zweryfikowanej ścieżce RealtimeAgent._acting przekazuje wywołanie narzędzia wygenerowane przez model do Toolkit.call_tool_function, co wywołuje execute_python_code bez dodatkowej granicy zatwierdzania lub izolacji.

Ocena ryzyka

Zdalny atakujący może wymusić wykonanie dowolnego kodu Python w środowisku usługi, co może prowadzić do przejęcia systemu lub wycieku danych. Brak izolacji i zatwierdzania znacząco zwiększa ryzyko.

Rekomendacja

Zaktualizuj agentscope do wersji zawierającej poprawkę i ogranicz udostępnianie narzędzia execute_python_code w sesjach RealtimeAgent. Wprowadź mechanizmy zatwierdzania i izolacji dla wywołań narzędzi.

Inne podatności w agentscope

CVE-2026-85685Wysokie
AgentScope do wersji 2.0.7.post1 zawiera podatność na przechodzenie po ścieżkach w LocalWorkspace.add_skill, która kopiuje dowolne katalogi serwera do przestrzeni roboczej agenta poprzez nieskonfigurowany parametr ścieżki źródłowej. Atakujący mogą podać dowolną ścieżkę katalogu w parametrze skill_path, aby skopiować pliki do katalogu umiejętności, czyniąc je dostępnymi przez listę umiejętności.

Oryginalny opis (angielski, źródło NVD)

In agentscope 1.0.18, 1.0.19, and 1.0.19 when the RealtimeAgent session exposes execute_python_code as an available tool, a remote WebSocket user can prompt the agent to call that tool and run Python code in the service environment. In the validated path, RealtimeAgent._acting forwards the model-produced tool call to Toolkit.call_tool_function, which invokes execute_python_code without an additional approval or isolation boundary on that path.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS