CVE-2026-90691
WysokieCVSS 8.3Streszczenie
Wykryto podatność w 0x4m4 HexStrike AI w funkcji FileOperationsManager pliku hexstrike_server.py (komponent API Files Endpoint). Manipulacja argumentem filename prowadzi do path traversal. Atak może być zdalny, a exploit jest publicznie ujawniony.
Ocena ryzyka
Podatność path traversal może pozwolić na dostęp do plików poza zamierzonym katalogiem, potencjalnie ujawniając wrażliwe dane. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Należy jak najszybciej załatać kod w hexstrike_server.py, walidując argument filename i ograniczając ścieżki dostępu. Do czasu poprawki zaleca się wyłączenie lub ograniczenie dostępu do API Files Endpoint.
Inne podatności w HexStrike AI
Zobacz wszystkie- CVE-2026-90690Wysokie
Zidentyfikowano słabość w 0x4m4 HexStrike AI w funkcji subprocess.Popen pliku hexstrike_server.py (komponent API Tools Endpoint). Manipulacja argumentami additional_args/target/username/password/scan_type/payload może prowadzić do wstrzyknięcia poleceń systemu operacyjnego. Atak może być zdalny, a exploit jest publicznie dostępny.
- CVE-2026-90620Wysokie
W projekcie 0x4m4 HexStrike AI (do commita d689933ff579d839c676c82b231f8e98326c5f04) wykryto podatność braku uwierzytelniania w nieznanej funkcji pliku hexstrike_server.py (komponent API Command Endpoint). Manipulacja pozwala na nieautoryzowany dostęp. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Projekt używa wydań ciągłych (rolling release), więc brak szczegółów wersji.
- CVE-2026-90619Wysokie
W projekcie 0x4m4 HexStrike AI (do commita d689933ff579d839c676c82b231f8e98326c5f04) wykryto podatność wstrzyknięcia poleceń systemu operacyjnego w nieznanej funkcji pliku hexstrike_server.py (komponent Execute Endpoint). Manipulacja argumentem code/script prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Projekt używa wydań ciągłych (rolling release), więc brak szczegółów wersji.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in 0x4m4 HexStrike AI up to d689933ff579d839c676c82b231f8e98326c5f04. The impacted element is the function FileOperationsManager of the file hexstrike_server.py of the component API Files Endpoint. The manipulation of the argument filename leads to path traversal. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.