Podatności OpenBMB XAgent
3 znanych podatności CVE w OpenBMB XAgent, przetłumaczonych i ocenionych.
- CVE-2026-51912Krytyczne
OpenBMB XAgent w wersji v1.0.0 zawiera podatność na przechodzenie katalogów w funkcji main-upload_file-the-preserved-live-upload-file-witness-directly-reaches (ToolServer/ToolServerNode/main.py:46). Może to pozwolić na dostęp do plików poza zamierzonym katalogiem.
- CVE-2026-26396Wysokie
W OpenBMB XAgent w wersji 1.0.0 i wcześniejszych wykryto podatność na przechodzenie do katalogów nadrzędnych (path traversal) w funkcji file() w pliku XAgent/XAgentServer/application/routers/workspace.py. Parametr wejściowy „filename” jest kontrolowany przez użytkownika i łączony ze ścieżką pliku bez odpowiedniej walidacji, co umożliwia odczyt dowolnych plików poza zamierzonym katalogiem.
- CVE-2026-4957Niskie
W OpenBMB XAgent 1.0.0 wykryto lukę w funkcji FunctionHandler.handle_tool_call w pliku XAgent/function_handler.py, związaną z obsługą klucza API. Manipulacja argumentem api_key powoduje ujawnienie wrażliwych informacji w plikach logów. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS