CVE-2026-90809
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W HKUDS nanobot do wersji 0.2.1 wykryto podatność w funkcjach ExecTool._guard_command oraz ExecTool._spawn w pliku nanobot/agent/tools/shell.py (komponent ExecTool). Manipulacja prowadzi do wstrzyknięcia argumentów, a atak można przeprowadzić zdalnie.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć argumenty do wykonywanych poleceń, co może prowadzić do nieautoryzowanych działań w systemie.
Rekomendacja
Należy zastosować dostępną poprawkę (patch af582246f141311d574551b7571a517bcc3df750) lub zaktualizować nanobot do wersji zawierającej tę poprawkę.
Inne podatności w HKUDS nanobot
Zobacz wszystkie- CVE-2026-92576Wysokie
HKUDS nanobot przed wersją 0.3.0 zawiera podatność server-side request forgery w komponencie WebFetchTool, gdzie funkcja _validate_url() nie blokuje wewnętrznych zakresów IP i adresów prywatnych. Atakujący mogą wysyłać wiadomości instruujące bota, aby pobierał endpointy metadanych chmury, usługi localhost i adresy RFC 1918 w celu wyodrębnienia poświadczeń IAM i danych usług wewnętrznych.
- CVE-2026-90808Średnie
W HKUDS nanobot do wersji 0.2.1 wykryto podatność w funkcjach ExecTool._guard_command i ExecTool._spawn w pliku nanobot/agent/tools/shell.py. Manipulacja powoduje niekompletną czarną listę, co umożliwia zdalny atak. Dostępna jest poprawka o nazwie af582246f141311d574551b7571a517bcc3df750.
- CVE-2026-19246Średnie
W HKUDS nanobot do wersji 0.2.1 znaleziono podatność w funkcji _download_image_data_url pliku nanobot/providers/image_generation.py, która prowadzi do podatności na atak SSRF (Server-Side Request Forgery). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecane jest zastosowanie poprawki.
- CVE-2026-19245Niskie
Podatność w HKUDS nanobot do wersji 0.2.1 dotyczy funkcji ExecTool._prepare_command w pliku nanobot/agent/tools/shell.py komponentu Login-shell Environment Handler. Wykonanie manipulacji może prowadzić do ujawnienia informacji. Atak wymaga dostępu lokalnego, a exploit został opublikowany.
- CVE-2026-19244Średnie
W HKUDS nanobot do wersji 0.2.1 wykryto podatność w funkcji connect_mcp_servers pliku nanobot/agent/tools/mcp.py, która prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Aktualizacja do wersji 0.3.0 rozwiązuje problem.
- CVE-2026-19243Średnie
W HKUDS nanobot do wersji 0.2.1 wykryto podatność w funkcjach ExecTool._guard_command/ExecTool._spawn pliku nanobot/agent/tools/shell.py, która prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Aktualizacja do wersji 0.3.0 jest zalecana.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in HKUDS nanobot up to 0.2.1. The affected element is the function ExecTool._guard_command/ExecTool._spawn of the file nanobot/agent/tools/shell.py of the component ExecTool. Such manipulation leads to argument injection. It is possible to launch the attack remotely. The name of the patch is af582246f141311d574551b7571a517bcc3df750. It is best practice to apply a patch to resolve this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS