CVE-2026-62675
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Omnigent przed wersją 0.3.0 akceptuje w multipart POST /v1/sessions pakiet agenta, a walidator nie odrzuca kropkowanej ścieżki Python w tools..callable. Mechanizm importuje wskazany moduł i wywołuje funkcję, co pozwala pakietowi wybrać subprocess.check_output i wykonać lokalne polecenie z uprawnieniami procesu runnera.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików runnera, zmiennych środowiskowych, poświadczeń, danych workspace, usług wewnętrznych i wpłynąć na dostępność bez uprawnień administratora.
Rekomendacja
Zaktualizuj Omnigent do wersji 0.3.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Omnigent
Zobacz wszystkie- CVE-2026-62674Krytyczne
Omnigent to otwartoźródłowy framework agentów AI i meta-harness do orkiestracji agentów kodujących. Przed wersją 0.3.0, PUT /sessions/{session_id}/agent sprawdza uprawnienie LEVEL_EDIT dla sesji, ale nie odrzuca powiązanego współdzielonego lub szablonowego agenta, którego agent.session_id jest None. Uwierzytelniony użytkownik z prawem edycji do sesji może zastąpić ten współdzielony pakiet agenta przez omnigent/server/routes/sessions.py, dodać serwer MCP stdio i spowodować, że późniejsze sesje używające współdzielonego agenta uruchomią polecenie kontrolowane przez atakującego przez omnigent/tools/mcp.py. Polecenie wykonuje się z uprawnieniami procesu runnera Omnigent i może ujawnić pliki, poświadczenia, dane obszaru roboczego, usługi wewnętrzne i dostępność runnera. Problem naprawiono w wersji 0.3.0.
- CVE-2026-62677Wysokie
Omnigent przed wersją 0.3.0 pozwala uwierzytelnionemu użytkownikowi przesłać pakiet agenta z wartością os_env.cwd zawierającą ścieżkę bezwzględną lub sekwencję przejść, ponieważ parser przechowuje wartość bez zmian, a walidator jej nie ogranicza. Gdy OMNIGENT_RUNNER_WORKSPACE nie jest ustawione, atakujący może kontrolować ścieżkę i uzyskać dostęp do plików runnera oraz sekretów środowiska poza zamierzonym workspace.
- CVE-2026-62676Wysokie
Omnigent przed wersją 0.3.0 ma wspólny parser poleceń powłoki, który nie rozpoznaje połączonych flag interpretera, wrapperów timeout, nice, setsid, stdbuf, podstawień poleceń oraz pojedynczego operatora kontroli tła. Ukryte w tych formach polecenia git push lub gh write nie są parsowane, co powoduje, że polityki allowlist i confinement nie działają i przepuszczają polecenie.
Oryginalny opis (angielski, źródło NVD)
Omnigent is an open-source AI agent framework and meta-harness for orchestrating coding agents. Prior to 0.3.0, multipart POST /v1/sessions accepts an authenticated user's agent bundle and omnigent/server/bundles.py validate_agent_bundle does not reject a tools..callable dotted Python path. omnigent/runner/tool_dispatch.py _resolve_spec_callable imports the specified module and _execute_spec_callable_tool invokes the resolved function, allowing a bundle to select subprocess.check_output and execute a local command with the runner process permissions. This can expose runner files, environment variables, credentials, workspace data, internal services, and availability without administrator access. This issue is fixed in version 0.3.0.