CVE-2026-58484

Network-AI ClaudeHookBridge przed wersją 5.15.1 obcina ciąg docelowy do 500 znaków przed oceną denyPatterns, podczas gdy Claude Code wykonuje pełne, nieobcięte polecenie. Atakujący mogą umieścić niebezpieczną treść poza 500 bajtem w polu polecenia Bash, aby ominąć twardą listę blokad operatora i wykonać dowolne polecenia.

Podatność w bibliotece Network-AI (TypeScript/Node.js) przed wersją 5.9.1 umożliwia ominięcie listy dozwolonych poleceń powłoki. Atakujący może wykonać dowolne polecenia przez wstrzyknięcie znaków specjalnych (np. `;`).

Network-AI przed wersją 5.15.1 zawiera podatność polegającą na obejściu matchera zabezpieczeń, gdzie SandboxPolicy ocenia surowe ciągi poleceń z zachowanymi cudzysłowami, podczas gdy executor tokenizuje polecenia, usuwając cudzysłowy przed wykonaniem. Atakujący mogą tworzyć polecenia z cudzysłowami, które omijają listy blokad i bramki zatwierdzania, podczas gdy executor wykonuje identyczne niecytowane niebezpieczne argv.

Podatność w Network-AI (wersje 5.0.0-5.12.1) w komponencie ApprovalInbox. Serwer HTTP nie wymaga uwierzytelnienia i ustawia nagłówek Access-Control-Allow-Origin: *, co pozwala każdemu, kto może wysłać żądanie HTTP (w tym strony internetowe w przeglądarce operatora), na zatwierdzanie oczekujących akcji wysokiego ryzyka bez zgody człowieka.

Podatność w Network-AI (wersje przed 5.12.2) w mechanizmie piaskownicy plików. Sprawdzanie ścieżek opiera się na prefiksie tekstowym, co pozwala agentowi na odczyt plików z katalogów o podobnej nazwie (np. /tmp/network-ai-sandbox_evil) poza zamierzonym katalogiem piaskownicy.

Podatność w Network-AI (wersje przed 5.12.2) w funkcji backupu środowiska. Funkcja _collectBackupFiles() podąża za dowiązaniami symbolicznymi, co pozwala atakującemu na umieszczenie dowiązania do katalogu zewnętrznego i skopiowanie jego zawartości do archiwum kopii zapasowej.

Podatność w Network-AI (wersje przed 5.12.2) w funkcji przywracania środowiska. Funkcja restore() nie sprawdza, czy ścieżka kopii zapasowej znajduje się w dozwolonym katalogu, co pozwala na podanie identyfikatora z sekwencją ../ i przywrócenie plików z dowolnego katalogu.

Network-AI przed wersją 5.4.5 ma domyślnie pusty sekret MCP SSE, co powoduje, że każdy nieuwierzytelniony żądanie jest akceptowane. Dodatkowo nagłówek CORS zezwala na dostęp z dowolnego źródła, co umożliwia atakującemu zdalne wywołanie wszystkich 22 narzędzi MCP na lokalnym serwerze.

Network-AI przed wersją 5.13.4 zawiera podatność na nieprawidłową weryfikację podpisu kryptograficznego w APSAdapter. Domyślny lokalny weryfikator akceptuje dowolny niepusty ciąg znaków jako prawidłowy. Nieuwierzytelniony atakujący może przesłać sfałszowane ładunki delegacji APS z dowolnymi zakresami, aby ominąć weryfikację podpisu i uzyskać tokeny uprawnień do wrażliwych zasobów, w tym SHELL_EXEC.

Network-AI (npm: network-ai) w wersjach 5.12.2 do 5.13.3 nie stosuje skonfigurowanej autoryzacji do tras GET /approvals/, co pozwala nieuwierzytelnionym aktorom na dostęp do wrażliwych danych zatwierdzeń, w tym komend powłoki, ścieżek plików i poziomów ryzyka. Dodatkowo nagłówek Access-Control-Allow-Origin: * umożliwia wyciek danych z dowolnej strony.