CVE-2026-85107

Hermes Agent w wersjach przed 0.16.0 tworzy pliki response_store.db oraz webhook_subscriptions.json z uprawnieniami do odczytu dla wszystkich użytkowników, co naraża historię rozmów oraz sekrety HMAC na dostęp lokalnych użytkowników.

Hermes Agent w wersjach od 0.18.2 do 0.21.0 (poprawka w commit f6234d0) zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na wykonanie dowolnych poleceń systemu operacyjnego poprzez dostarczenie złośliwego repozytorium z spreparowanym plikiem .git/config ustawiającym core.fsmonitor na polecenie kontrolowane przez atakującego. Gdy użytkownik otworzy złośliwe repozytorium i wyśle jakąkolwiek wiadomość, agent wyzwala odświeżenie indeksu git status, które wykonuje wstrzyknięte polecenie w kontekście procesu użytkownika, ujawniając całe środowisko, w tym skonfigurowane klucze API dostawców.

Podatność w NousResearch hermes-agent 0.18.0 dotyczy funkcji fetchLinkTitle w pliku apps/desktop/src/app/artifacts/index.tsx komponentu Link Title Fetch. Manipulacja argumentem url prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Producent został skontaktowany wcześniej w sprawie ujawnienia, ale nie odpowiedział.

W hermes-agent (NousResearch) do wersji 0.18.2 znaleziono podatność w funkcji list_tools pliku tools/mcp_tool.py komponentu MCP Tool. Manipulacja prowadzi do niekontrolowanej alokacji pamięci. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty. Dostawca został poinformowany, ale nie odpowiedział.

Znaleziono podatność w NousResearch hermes-agent do wersji 0.18.2, dotyczącą funkcji HermesACPAgent.prompt w pliku acp_adapter/session.py komponentu ACP Prompt Workflow. Manipulacja prowadzi do odmowy usługi (DoS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Znaleziono błąd w NousResearch hermes-agent 0.18.0, dotyczący nieznanej funkcjonalności pliku gateway/platforms/api_server.py komponentu Session Chat Interface. Manipulacja powoduje odmowę usługi (DoS). Atak może być przeprowadzony zdalnie, a exploit został opublikowany i może być użyty. Producent został wcześniej poinformowany, ale nie odpowiedział.

Hermes Agent 0.18.2 przed wersją 0.19.0 zawiera podatność łańcucha dostaw w swoim dołączonym katalogu MCP, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez skompromitowanie zewnętrznego repozytorium nadrzędnego, do którego odwołuje się przez zmienną gałąź zamiast przypiętego skrótu commit. Atakujący, który skompromituje repozytorium nadrzędne, może rozprzestrzenić złośliwy kod na każdy host, który instaluje dotknięty wpis katalogu, bez dalszych działań operatora.

Hermes Agent w wersjach od 0.16.0 do przed 0.17.0 zawiera podatność na nieprawidłowe ograniczenie ścieżek, która pozwala atakującym mającym wpływ na treść przetwarzanych wiadomości na nadpisanie magazynu poświadczeń poprzez ominięcie zabezpieczeń ścieżek wykluczających plik auth.json. Atakujący mogą tworzyć złośliwe wiadomości kierujące narzędziami zapisu plików agenta do nadpisania magazynu poświadczeń bez wyzwalania ochrony opartej na ścieżkach, co umożliwia manipulację poświadczeniami lub nieautoryzowany dostęp.

Wykryto podatność w NousResearch hermes-agent do wersji 0.16.0, dotyczącą nieznanej funkcjonalności w pliku hermes-agent/model_tools.py w komponencie Memory Toolset. Manipulacja prowadzi do nieprawidłowych kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto podatność w NousResearch hermes-agent do wersji 0.16.0. Dotyczy funkcji get_tool_definitions w pliku agent/agent_init.py komponentu disabled_toolsets Handler. Manipulacja powoduje nieprawidłowe przypisanie uprawnień. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.