Katalog podatności CVE

Narzędzie open-multi-agent (pakiet @open-multi-agent/core) w wersjach 1.5.0 do 1.21.2 zawiera podatność typu link following w sandboxie narzędzia file_write, która pozwala atakującym tworzyć pliki poza katalogiem roboczym poprzez wykorzystanie wiszących dowiązań symbolicznych. Atakujący może umieścić wiszące dowiązanie w obszarze roboczym i nakłonić agenta poprzez wstrzyknięcie promptu do zapisu treści pod dowolną ścieżką, do której proces agenta ma prawo zapisu.

Narzędzie phi w wersjach 0.1.1 do 0.28.4 zawiera podatność niewłaściwego rozwiązywania dowiązań, która pozwala złośliwym repozytoriom obejść ograniczenie workspace_only_writes poprzez wykorzystanie sprawdzania ścieżek wyłącznie leksykalnie w bramce uprawnień. Atakujący mogą zatwierdzić dowiązania symboliczne wskazujące poza obszar roboczy i użyć wstrzyknięcia promptu, aby narzędzie zapisu zapisało treści do plików zewnętrznych bez zatwierdzenia.

Floci w wersjach od 1.1.0 do 2.2.0 zawiera podatność na wstrzyknięcie kodu w VtlTemplateEngine, umożliwiającą nieuwierzytelnionemu atakującemu wykonanie poleceń systemowych. Atakujący tworzy API REST z integracją MOCK, której szablon wykorzystuje refleksję $util do sięgnięcia po Runtime lub ProcessBuilder i uruchomienia poleceń OS w JVM Floci.

Cohere Python SDK w wersjach 5.11.0 do 7.2.0 zawiera podatność path traversal (tar slip) w funkcji _s3_models_dir_to_tarfile, która pozwala na zapis dowolnych plików poprzez niezwalidowane wywołania tarfile.extractall. Atakujący, którzy mogą zapisać archiwa modeli do prefiksu S3 ofiary, mogą umieścić ścieżki absolutne lub elementy ../, aby nadpisać pliki na hoście SDK.

OpenLIT w wersji 2.1.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom na odczyt telemetrii innych projektów poprzez dostarczenie sfałszowanego nagłówka x-openlit-project-id. Atakujący, którzy znają identyfikator projektu ofiary i identyfikator konfiguracji bazy danych, mogą odpytać API odczytu śladów, aby uzyskać ślady zawierające prompty i uzupełnienia LLM.

Phi w wersjach 0.3.0 do 0.28.4 zawiera podatność obejścia uprawnień, która pozwala tworzonym podagentom na ucieczkę z trybu workspace_only_writes i readonly poprzez dostarczenie niesprawdzonego katalogu roboczego do agent_spawn. Atakujący mogą umieścić instrukcje wstrzyknięte przez prompt w przetwarzanej treści, aby agent utworzył proces roboczy zakorzeniony w innym miejscu, powodując niezatwierdzone zapisy plików w dowolnym miejscu, w którym użytkownik ma prawo zapisu.

Mealie w wersjach od 3.26.0 do 3.28.0 zawiera podatność typu server-side request forgery (SSRF) w mechanizmie pobierania awatara przez OpenID Connect. Podatność polega na tym, że lista dozwolonych hostów dostawcy tożsamości ignoruje numery portów. Uwierzytelniony użytkownik OIDC, który kontroluje adres URL swojego zdjęcia profilowego, może przy każdym logowaniu wymusić na serwerze wysyłanie żądań GET do dowolnych portów na wewnętrznym adresie dostawcy.

9router w wersjach 0.4.1 do 0.5.99 zawiera podatność wstrzyknięcia konfiguracji w punkcie końcowym POST /api/cli-tools/hermes-settings, która pozwala uwierzytelnionym użytkownikom panelu na wstrzyknięcie dowolnych kluczy do pliku konfiguracyjnego Hermes Agent config.yaml. Atakujący mogą przesłać baseUrl zawierający podwójne cudzysłowy i znaki nowej linii, aby dodać hooks_auto_accept oraz polecenie powłoki hooks.post_llm_call, które Hermes Agent wykonuje bez zatwierdzenia po wywołaniu LLM.

mini-swe-agent w wersjach 1.10.0 do 2.4.6 zawiera podatność ujawnienia informacji w BubblewrapEnvironment, ponieważ bwrap pomija --clearenv, więc polecenia w sandboxie dziedziczą środowisko hosta. Atakujący wykorzystujący wstrzyknięcie promptu w przetwarzanej treści zadania mogą zmusić agenta do odczytania kluczy API ze środowiska i eksfiltracji ich przez współdzieloną sieć.

InnoShop w wersji 0.9.2 zawiera podatność lokalnego ujawnienia plików, która pozwala uwierzytelnionym administratorom z uprawnieniem files_create na odczyt plików serwera poprzez nadużycie argumentu source narzędzia file_upload w AI Core MCP. Atakujący mogą dostarczyć wrappery strumieni file:// lub php:// przekazywane do file_get_contents(), przechowując zawartość na publicznym dysku mediów, aby ujawnić plik .env z APP_KEY i poświadczeniami bazy danych.

Wtyczka miniOrange OTP Verification (miniorange-otp-verification) do wersji 5.5.7 zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Problem dotyczy wszystkich wersji od n/a do 5.5.7.

Wtyczka rtMedia for WordPress, BuddyPress and bbPress (buddypress-media) do wersji 4.7.13 zawiera podatność typu Path Traversal wynikającą z nieprawidłowego ograniczenia ścieżki do katalogu. Umożliwia to atakującemu dostęp do plików spoza dozwolonego katalogu.

Podatność typu Reflected XSS w rozszerzeniu ThemeStek Extras dla motywu LabtechCO. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony internetowej pozwala na odbicie złośliwego skryptu. Dotyczy wersji do 8.4.

Podatność polegająca na deserializacji niezaufanych danych w wtyczce Super Video Player. Umożliwia atakującemu wstrzyknięcie obiektów (Object Injection). Dotyczy wersji do 1.8.13.

1MCP Agent (@1mcp/agent) w wersjach 0.20.0 do 0.39.0 zawiera podatność nieprawidłowej autoryzacji, która umożliwia uwierzytelnionym klientom obejście egzekwowania zakresów tagów OAuth przy użyciu zanegowanych wyrażeń filtrów tagów. Atakujący posiadający token z jednym tagiem mogą wysłać filtr typu not <granted-tag>, aby wyświetlić listę i wywołać narzędzia na backendowych serwerach MCP poza przyznanymi zakresami.

argocd-mcp (Argo CD MCP Server) do wersji 0.9.0 zawiera podatność na traversal ścieżek w narzędziu delete_application, która pozwala klientom MCP na dostęp do nieprzeznaczonych punktów API poprzez niezweryfikowane wartości applicationName. Atakujący lub modele ze wstrzykniętą instrukcją mogą podać wartości z segmentami typu ../repositories/, aby wysyłać uwierzytelnione żądania DELETE, usuwając repozytoria, klastry lub projekty w ramach uprawnień RBAC tokena.

Podatność polegająca na braku autoryzacji w wtyczce Bayarcash WooCommerce. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 4.4.2.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień w WooCommerce. Umożliwia eskalację uprawnień. Dotyczy wersji od 9.8.0 do 11.1.2.

Podatność typu Blind SQL Injection w wtyczce Tickera do systemu biletowego. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL pozwala atakującemu na ślepe wstrzyknięcie kodu SQL. Dotyczy wersji do 3.6.0.6.

Podatność polegająca na deserializacji niezaufanych danych w wtyczce AFFI – Affiliate Marketing for WooCommerce. Umożliwia to atakującemu wstrzyknięcie obiektów (Object Injection). Dotyczy wersji do 1.0.10.