CVE-2026-90808
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W HKUDS nanobot do wersji 0.2.1 wykryto podatność w funkcjach ExecTool._guard_command i ExecTool._spawn w pliku nanobot/agent/tools/shell.py. Manipulacja powoduje niekompletną czarną listę, co umożliwia zdalny atak. Dostępna jest poprawka o nazwie af582246f141311d574551b7571a517bcc3df750.
Ocena ryzyka
Niekompletna czarna lista może pozwolić atakującemu na wykonanie niebezpiecznych poleceń powłoki, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zastosuj dostępną poprawkę (af582246f141311d574551b7571a517bcc3df750) lub zaktualizuj nanobot do najnowszej wersji.
Inne podatności w HKUDS nanobot
Zobacz wszystkie- CVE-2026-92576Wysokie
HKUDS nanobot przed wersją 0.3.0 zawiera podatność server-side request forgery w komponencie WebFetchTool, gdzie funkcja _validate_url() nie blokuje wewnętrznych zakresów IP i adresów prywatnych. Atakujący mogą wysyłać wiadomości instruujące bota, aby pobierał endpointy metadanych chmury, usługi localhost i adresy RFC 1918 w celu wyodrębnienia poświadczeń IAM i danych usług wewnętrznych.
- CVE-2026-90809Wysokie
W HKUDS nanobot do wersji 0.2.1 wykryto podatność w funkcjach ExecTool._guard_command oraz ExecTool._spawn w pliku nanobot/agent/tools/shell.py (komponent ExecTool). Manipulacja prowadzi do wstrzyknięcia argumentów, a atak można przeprowadzić zdalnie.
- CVE-2026-19246Średnie
W HKUDS nanobot do wersji 0.2.1 znaleziono podatność w funkcji _download_image_data_url pliku nanobot/providers/image_generation.py, która prowadzi do podatności na atak SSRF (Server-Side Request Forgery). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecane jest zastosowanie poprawki.
- CVE-2026-19245Niskie
Podatność w HKUDS nanobot do wersji 0.2.1 dotyczy funkcji ExecTool._prepare_command w pliku nanobot/agent/tools/shell.py komponentu Login-shell Environment Handler. Wykonanie manipulacji może prowadzić do ujawnienia informacji. Atak wymaga dostępu lokalnego, a exploit został opublikowany.
- CVE-2026-19244Średnie
W HKUDS nanobot do wersji 0.2.1 wykryto podatność w funkcji connect_mcp_servers pliku nanobot/agent/tools/mcp.py, która prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Aktualizacja do wersji 0.3.0 rozwiązuje problem.
- CVE-2026-19243Średnie
W HKUDS nanobot do wersji 0.2.1 wykryto podatność w funkcjach ExecTool._guard_command/ExecTool._spawn pliku nanobot/agent/tools/shell.py, która prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Aktualizacja do wersji 0.3.0 jest zalecana.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in HKUDS nanobot up to 0.2.1. Impacted is the function ExecTool._guard_command/ExecTool._spawn of the file nanobot/agent/tools/shell.py of the component ExecTool. This manipulation causes incomplete blacklist. It is possible to initiate the attack remotely. Patch name: af582246f141311d574551b7571a517bcc3df750. Applying a patch is the recommended action to fix this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS