CVE-2026-57494

AgenticMail süni intellekt agentlərinə real e-poçt ünvanları və telefon nömrələri təmin edir. Versiya 0.9.64-dən əvvəlki @agenticmail/api paketində, aşağı səlahiyyətli autentifikasiya olunmuş AgenticMail agenti `GET /api/agenticmail/tasks/pending?assignee=<name>` sorğusuna hədəf agentin adını daxil etməklə digər agentin gözləyən/təsdiqlənmiş tapşırıqlarını sadalayır. Qayıdan tapşırıq obyektləri tapşırıq ID-lərini və faylları (payloads) ehtiva edir. Həmin tapşırıq ID-ləri daha sonra imkan-üslublu (capability-style) tapşırıq mutasiya son nöqtələri (`/tasks/:id/claim`, `/tasks/:id/result`, `/tasks/:id/complete`, `/tasks/:id/fail`) vasitəsilə başqa agentə təyin edilmiş tapşırıqları təsdiqləmək, tamamlamaq və ya uğursuz etmək üçün istifadə edilə bilər. Adi autentifikasiya olunmuş agentlər `GET /api/agenticmail/accounts/directory` vasitəsilə agent adlarını aşkar edə bildikləri üçün, tapşırıq ID-si faktiki olaraq gizli bir imkan olmağı dayandırır. Bu, nəzərdə tutulmuş imkan modelini agentlərarası avtorizasiyadan yan keçməyə çevirir. Versiya 0.9.64-də düzəliş tətbiq edilmişdir.