CVE-2026-6585

TransformerOptimus SuperAGI v0.0.14 jest podatny na nieprawidłową kontrolę dostępu w kontrolerze narzędzi. W dotkniętych wersjach źródłowych, funkcje get_tool i update_tool w pliku superagi/controllers/tool.py akceptują dostarczony przez wywołującego tool_id i nie weryfikują własności organizacji przez powiązany toolkit. Zdalny uwierzytelniony atakujący z jednej organizacji może odczytać lub zmodyfikować metadane narzędzia innej organizacji przez /tools/get/{tool_id} i /tools/update/{tool_id}.

SuperAGI do wersji v0.0.14 zawiera podatność na niewłaściwą kontrolę dostępu w kontrolerze wykonywania agentów. Funkcje create_agent_execution i create_agent_run w superagi/controllers/agent_execution.py przyjmują dostarczony przez wywołującego agent_id i nie weryfikują, czy agent należy do organizacji uwierzytelnionego użytkownika. Zdalny uwierzytelniony atakujący z jednej organizacji może tworzyć lub uruchamiać rekordy wykonania dla agentów należących do innej organizacji przez /agentexecutions/add lub /agentexecutions/add_run.

SuperAGI w wersji 0.0.14 zawiera podatność na nieprawidłową kontrolę dostępu w funkcji get_agent_by_latest_execution w pliku superagi/controllers/agent_execution.py. Zdalny uwierzytelniony atakujący z jednej organizacji może pobrać najnowsze wykonanie i metadane agenta projektu innej organizacji, podając identyfikator projektu ofiary w żądaniu do /agentexecutions/get/latest/agent/project/{project_id}.

SuperAGI do wersji v0.0.14 zawiera podatność na nieprawidłową kontrolę dostępu. Punkt końcowy kontrolera agentów /api/agents/get/project/{project_id} pozwala uwierzytelnionym użytkownikom z jednej organizacji pobrać pełną listę agentów należących do projektu innej organizacji, ponieważ parametr project_id nie jest weryfikowany pod kątem przynależności do organizacji użytkownika.

TransformerOptimus SuperAGI v0.0.14 zawiera podatność nieprawidłowej kontroli dostępu w funkcji delete_user_knowledge w pliku superagi/controllers/knowledges.py. W dotkniętych wersjach źródłowych, żądanie POST /knowledges/delete/{knowledge_id} usuwa wybrany obiekt wiedzy bez wymagania uwierzytelnienia w trasie i bez weryfikacji własności organizacji dla podanego knowledge_id.

TransformerOptimus SuperAGI v0.0.14 jest podatny na nieprawidłową kontrolę dostępu w kontrolerze szablonów agentów. W dotkniętych wersjach źródłowych, funkcje save_agent_as_template i publish_template w pliku superagi/controllers/agent_template.py akceptują dostarczone przez wywołującego wartości agent_id lub agent_execution_id i nie weryfikują, czy odwoływany agent lub wykonanie należy do organizacji uwierzytelnionego użytkownika.

SuperAGI do wersji 0.0.14 jest podatny na niewłaściwą kontrolę dostępu. Endpoint kontrolera wykonywania agentów /api/agentexecutions/schedule pozwala uwierzytelnionym użytkownikom z jednej organizacji planować istniejące agenty należące do innej organizacji bez odpowiednich kontroli autoryzacji. Endpoint przyjmuje parametr agent_id, ale nie weryfikuje, czy agent należy do organizacji uwierzytelnionego użytkownika.

W SuperAGI v0.0.14 i wcześniejszych, endpointy kontrolera (/api/agents/create, /api/agents/schedule, /api/agents/delete, /api/agents/edit_schedule, /api/agents/stop_schedule) pozwalają uwierzytelnionym użytkownikom z jednej organizacji tworzyć, planować, edytować, zatrzymywać i usuwać agenty należące do projektu innej organizacji. Endpointy przyjmują parametr project_id, ale nie weryfikują, czy projekt należy do organizacji uwierzytelnionego użytkownika.

W TransformerOptimus SuperAGI do wersji 0.0.14 wykryto podatność w funkcjach extract_with_bs4, extract_with_3k i extract_with_lxml w pliku superagi/helper/webpage_extractor.py komponentu WebScraperTool. Manipulacja danymi prowadzi do podatności SSRF (server-side request forgery). Exploit został publicznie ujawniony i może być wykorzystany zdalnie.

W TransformerOptimus SuperAGI do wersji 0.0.14 odkryto lukę w funkcjach get_project, update_project i get_projects_organisation w pliku superagi/controllers/project.py. Manipulacja prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.