CVE-2026-51875
NieznaneStreszczenie
W Devika v1.0 funkcja save_code_to_project w Feature Agent zawiera podatność na path traversal, która pozwala atakującym zapisywać pliki poza zamierzonym obszarem roboczym projektu, co może zagrozić całemu serwerowi.
Ocena ryzyka
Atakujący może zapisywać pliki w dowolnym miejscu systemu plików serwera, co może prowadzić do przejęcia kontroli nad serwerem lub modyfikacji krytycznych plików.
Rekomendacja
Zaleca się natychmiastową aktualizację Devika do najnowszej wersji, jeśli dostępna, oraz wdrożenie walidacji ścieżek w funkcji save_code_to_project, aby uniemożliwić zapis poza dozwolony katalog.
Inne podatności w Devika
Zobacz wszystkie- CVE-2026-51874Nieznane
W Devika v1.0 funkcja save_code_to_project w Patcher Agent zawiera podatność na path traversal, która pozwala atakującym zapisywać pliki poza zamierzonym obszarem roboczym projektu.
- CVE-2026-51873Nieznane
Devika v1.0 jest podatna na Directory Traversal w funkcji Coder.save_code_to_project, co pozwala atakującym zapisywać pliki poza zamierzonym obszarem roboczym projektu.
- CVE-2026-51871Krytyczne
Devika v1.0 jest podatna na wstrzykiwanie kodu w funkcji Runner.execute w src/agents/runner/runner.py, co pozwala atakującemu na wykonanie dowolnego kodu poprzez wykorzystanie bezpośredniego wykonania treści generowanej przez LLM.
- CVE-2026-51872Niskie ryzyko· EPSS 10%
Devika v1.0 jest podatna na wstrzykiwanie kodu przez funkcję Runner.run_code w src/agents/runner/runner.py.
Oryginalny opis (angielski, źródło NVD)
In Devika v1.0, the Feature Agent save_code_to_project function contains a path traversal vulnerability that allows attackers to write files outside the intended project workspace, potentially compromising the entire server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS