CVE-2026-75482
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
SWE-agent's trajectory inspector (sweagent inspector) w wersji 1.1.0 zawiera podatność na path traversal w handlerze /trajectory/, która pozwala nieuwierzytelnionym klientom sieciowym na odczyt plików poza zamierzonym katalogiem, w tym plików JSON zawierających dane repozytorium, wyniki poleceń i sekrety.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych, takich jak klucze API i sekrety, co może prowadzić do poważnego naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji z poprawką oraz ograniczenie dostępu do serwera (np. przez uwierzytelnianie i ograniczenie CORS).
Oryginalny opis (angielski, źródło NVD)
SWE-agent's trajectory inspector (sweagent inspector), confirmed in v1.1.0, is an HTTP server that joins request paths to the trajectory directory in its /trajectory/ handler without rejecting parent-directory ('..') references, bypassing the built-in path sanitization. The server binds all interfaces (0.0.0.0), applies wildcard CORS, and requires no authentication. An unauthenticated network client (or a malicious web page via CORS) can use path traversal sequences to read files outside the intended directory. Because the read sink parses targets as trajectory JSON, disclosure is constrained to JSON files shaped like a trajectory, which can contain repository contents, command output, and secrets/API keys.