CVE-2026-58171
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność w Vibe-Trading przed wersją 0.1.10 pozwala na odczyt i nadpisanie plików run.json poza katalogiem runs. Atakujący może dostarczyć spreparowany identyfikator uruchomienia przez narzędzia MCP swarm, co prowadzi do nieautoryzowanego dostępu do plików.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych z plików run.json oraz na uszkodzenie istniejących plików konfiguracyjnych, co może zakłócić działanie aplikacji.
Rekomendacja
Należy natychmiast zaktualizować Vibe-Trading do wersji 0.1.10 lub nowszej, która zawiera poprawkę walidacji identyfikatora uruchomienia.
Inne podatności w Vibe-Trading
Zobacz wszystkie- CVE-2026-58173Średnie
Podatność typu path traversal w Vibe-Trading przed wersją 0.1.10 pozwala atakującym na zapisywanie plików poza zamierzonym katalogiem głównym pamięci poprzez podanie złośliwej wartości parametru memory_type zawierającej sekwencje nawigacji po ścieżkach. Atakujący mogą manipulować parametrem memory_type w trwałym magazynie pamięci, co powoduje zapis dowolnych plików Markdown w nieprzeznaczonych lokalizacjach w systemie plików.
- CVE-2026-58170Wysokie
Podatność w Vibe-Trading przed wersją 0.1.10 pozwala na wstrzyknięcie ścieżki (path traversal) podczas budowania ścieżki pliku propozycji. Atakujący może dostarczyć identyfikator propozycji zawierający sekwencje nawigacji po katalogach, co powoduje załadowanie kontrolowanego pliku JSON jako autorytatywnego mandatu handlowego.
- CVE-2026-58169Wysokie
Podatność DNS rebinding w Vibe-Trading przed wersją 0.1.10 umożliwia ominięcie uwierzytelniania bearer-token poprzez wykorzystanie zaufania serwera do adresów TCP dla klientów loopback oraz brak walidacji nagłówka Host przy wiązaniu do 0.0.0.0 z uwierzytelnionym CORS. Atakujący może stworzyć złośliwą stronę DNS rebinding, wysyłać uwierzytelnione żądania do lokalnego API, dotrzeć do endpointu wykonania powłoki z presetem bash i uzyskać zdalne wykonanie kodu jako użytkownik procesu API, a także nadpisać ustawienia LLM i źródła danych w celu kradzieży poświadczeń.
Oryginalny opis (angielski, źródło NVD)
Vibe-Trading before 0.1.10 constructs the swarm run directory by joining a caller-supplied run identifier onto the runs base directory without validation in run_dir (agent/src/swarm/store.py). A crafted run identifier supplied through the MCP swarm tools causes the application to read arbitrary run.json files outside the runs directory and to overwrite existing run.json files at traversed locations.