Podatności picobot

W projekcie louisho5 picobot do wersji 0.2.0 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji ExecTool.Execute w pliku internal/agent/tools/exec.go, gdzie manipulacja danymi wejściowymi prowadzi do wykonania dowolnych poleceń. Atak wymaga dostępu lokalnego, a exploit został opublikowany.

W bibliotece picobot do wersji 0.2.0 wykryto podatność SSRF w funkcji WebTool.Execute pliku internal/agent/tools/web.go. Manipulacja argumentem url umożliwia zdalne wykonanie żądania po stronie serwera. Projekt nie odpowiedział na zgłoszenie problemu.

W komponencie Workspace Handler projektu louisho5 picobot do wersji 0.2.0 wykryto podatność na podążanie za dowiązaniami (link following). Problem dotyczy funkcji CreateSkill/GetSkill w pliku internal/agent/tools/filesystem.go. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.