CVE-2026-51867

KrytyczneCVSS 9.8

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

agentgpt v.1.0.0 jest podatny na nieprawidłową kontrolę dostępu w next/src/server/api/routers/agentRouter.ts. Zewnętrznie osiągalna ścieżka akceptuje identyfikator obiektu lub dzierżawcy wybrany przez wywołującego i dociera do operacji dostępu do danych bez widocznego powiązania właściciela, dzierżawcy, przestrzeni roboczej lub członkostwa na tym obiekcie.

Ocena ryzyka

Ryzyko nieautoryzowanego dostępu do danych innych użytkowników lub dzierżawców, co może prowadzić do naruszenia poufności danych.

Rekomendacja

Zaktualizuj agentgpt do najnowszej wersji lub wdróż odpowiednie kontrole dostępu w routerze agentRouter.ts.

Inne podatności w agentgpt

CVE-2026-65699Średnie
AgentGPT do wersji 1.0.0 zawiera podatność na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Uwierzytelniony atakujący może dołączyć zadania do agenta innego użytkownika, podając run_id bez weryfikacji własności.

Oryginalny opis (angielski, źródło NVD)

agentgpt v.1.0.0 is vulnerable to Incorrect Access Control in next/src/server/api/routers/agentRouter.ts. An externally reachable path accepts a caller-selected object or tenant identifier and reaches a data-access operation without a visible owner, tenant, workspace, or membership binding on that object.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS