CVE-2026-58170

Vibe-Trading 0.1.10 versiyasından əvvəlki versiyalarda təklif faylının yolu, təmizlənməmiş şəkildə çağırıcı tərəfindən təmin edilən təklif identifikatorunun broker təklifləri kataloquna birləşdirilməsi ilə qurulur (agent/src/live/mandate/commit.py). Yol keçidi (path traversal) ardıcıllıqlarını ehtiva edən təklif identifikatoru, tətbiqin hücumçu tərəfindən idarə olunan JSON faylını rəsmi canlı ticarət mandatı kimi yükləməsinə səbəb olur. Fayl yükləmə son nöqtəsi (endpoint) ilə birlikdə, icazəsi olan çağırıcı məlum bir yerə JSON faylı yaza və ona yol keçidi vasitəsilə çata bilər; limitlər (ceilings) mövcud olmadıqda onların validasiyası ötürüldüyü üçün hücumçu təsdiqlənmiş mandatı tamamilə idarə edir.