CVE-2026-62674
KrytyczneCVSS 9.0Streszczenie
Omnigent to otwartoźródłowy framework agentów AI i meta-harness do orkiestracji agentów kodujących. Przed wersją 0.3.0, PUT /sessions/{session_id}/agent sprawdza uprawnienie LEVEL_EDIT dla sesji, ale nie odrzuca powiązanego współdzielonego lub szablonowego agenta, którego agent.session_id jest None. Uwierzytelniony użytkownik z prawem edycji do sesji może zastąpić ten współdzielony pakiet agenta przez omnigent/server/routes/sessions.py, dodać serwer MCP stdio i spowodować, że późniejsze sesje używające współdzielonego agenta uruchomią polecenie kontrolowane przez atakującego przez omnigent/tools/mcp.py. Polecenie wykonuje się z uprawnieniami procesu runnera Omnigent i może ujawnić pliki, poświadczenia, dane obszaru roboczego, usługi wewnętrzne i dostępność runnera. Problem naprawiono w wersji 0.3.0.
Ocena ryzyka
Ryzyko obejmuje wykonanie dowolnego polecenia z uprawnieniami procesu runnera Omnigent, co może prowadzić do ujawnienia wrażliwych danych, poświadczeń, danych obszaru roboczego i naruszenia bezpieczeństwa wewnętrznych usług.
Rekomendacja
Zaleca się aktualizację Omnigent do wersji 0.3.0 lub nowszej, aby zapobiec zastąpieniu współdzielonych agentów i wykonaniu nieautoryzowanych poleceń.
Oryginalny opis (angielski, źródło NVD)
Omnigent is an open-source AI agent framework and meta-harness for orchestrating coding agents. Prior to 0.3.0, PUT /sessions/{session_id}/agent checks LEVEL_EDIT permission for a session but does not reject a bound shared or template agent whose agent.session_id is None. An authenticated user with edit access to a session can replace that shared agent bundle through omnigent/server/routes/sessions.py, add a stdio MCP server, and cause later sessions that use the shared agent to launch an attacker-controlled command through omnigent/tools/mcp.py. The command executes with the Omnigent runner process permissions and can expose files, credentials, workspace data, internal services, and runner availability. This issue is fixed in version 0.3.0.