CVE-2026-84811

ŚrednieCVSS 6.5

Opublikowano: 02/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Skaner agentverus-scanner nie analizuje skompilowanych plików bytecode Pythona w katalogach towarzyszących, co pozwala atakującym ominąć skanowanie bezpieczeństwa poprzez umieszczenie złośliwych wpisów __pycache__ obok nieszkodliwych plików źródłowych. Atakujący mogą wykonać dowolny bytecode Pythona podczas importu, podczas gdy skaner raportuje certyfikowany werdykt z wysokimi wynikami zaufania.

Ocena ryzyka

Ryzyko polega na tym, że złośliwy kod może zostać dostarczony i wykonany w środowisku, mimo że skaner bezpieczeństwa oznacza go jako bezpieczny, co może prowadzić do naruszenia integralności systemu.

Rekomendacja

Zaleca się zaktualizowanie agentverus-scanner do wersji, która analizuje pliki bytecode, oraz ręczne sprawdzanie katalogów __pycache__ w dostarczanych pakietach.

Inne podatności w agentverus-scanner

CVE-2026-101079Niskie
Podatność w agentverus-scanner do wersji 0.8.1 dotyczy funkcji isSecurityDefenseSkill w pliku dist/scanner/analyzers/context.js. Manipulacja prowadzi do opierania decyzji bezpieczeństwa na niezaufanych danych wejściowych, a atak musi być zainicjowany lokalnie. Exploit został publicznie ujawniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie problemu.

Oryginalny opis (angielski, źródło NVD)

agentverus-scanner fails to analyze compiled Python bytecode files in companion code directories, allowing attackers to bypass security scanning by shipping malicious __pycache__ entries alongside benign source files. Attackers can execute arbitrary Python bytecode on import while the scanner reports a CERTIFIED verdict with high trust scores in both static and semantic analysis modes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS