CVE-2026-5584

WysokieCVSS 7.3

Opublikowano: 05/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

W Fosowl agenticSeek 0.1.0 stwierdzono podatność w funkcji PyInterpreter.execute pliku sources/tools/PyInterpreter.py komponentu query Endpoint. Manipulacja ta prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

Ocena ryzyka

Zdalny atakujący może wykonać dowolny kod Python na serwerze, co może prowadzić do pełnej kompromitacji systemu i dostępu do danych.

Rekomendacja

Skontaktuj się z producentem w celu uzyskania łatki lub rozważ tymczasowe wyłączenie punktu końcowego query, jeśli to możliwe.

Inne podatności w agenticSeek

CVE-2026-72776Krytyczne
AgenticSeek (commit fc242c7) zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu, która pozwala każdemu atakującemu w sieci na wykonanie dowolnych poleceń poprzez wysyłanie spreparowanych zapytań do niezabezpieczonego endpointu POST /query API, nasłuchującego na 0.0.0.0:7777 z wildcard CORS. Atakujący mogą wysyłać nieuwierzytelnione żądania HTTP, które powodują, że autonomiczny agent generuje i wykonuje polecenia powłoki przez BashInterpreter używając subprocess.Popen z shell=True i safety=False, omijając niekompletną listę zablokowanych poleceń, aby osiągnąć pełne wykonanie kodu na poziomie hosta.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in Fosowl agenticSeek 0.1.0. Impacted is the function PyInterpreter.execute of the file sources/tools/PyInterpreter.py of the component query Endpoint. Such manipulation leads to code injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.