CVE-2026-58484

Network-AI TypeScript/Node.js üçün çoxagentli orkestratordur. 5.12.2 versiyasından əvvəl `EnvironmentManager.listBackups()` hər ehtiyat nüsxənin `_manifest.json` faylını oxuyur və manifestin `path` sahəsinə etibar edir. Daha sonra `EnvironmentManager.pruneBackups()` həmin etibarlı `entry.path` dəyərini birbaşa `rmSync(entry.path, { recursive: true, force: true })` funksiyasına ötürür. `data/<env>/.backups/<name>/_manifest.json` daxilində manifest yerləşdirə və ya dəyişdirə bilən təcavüzkar `network-ai env backup prune --env <env> --keep <n>` əmrini və ya `pruneBackups()` funksiyasını çağıran istənilən kod yolunu istifadə edərək Network-AI prosesinin istifadəçisi üçün əlçatan olan ixtiyari yolu rekursiv şəkildə silə bilər. Bu problem v5.12.2-də düzəldilib. `pruneBackups()` artıq diskdəki manifestdən gələn `entry.path` dəyərini `rmSync` funksiyasına ötürmür. Silmə yolu format baxımından yoxlanılmış `entry.backupId` əsasında yenidən hesablanır və `dirname` üzrə yoxlama silmə əməliyyatını ehtiyat nüsxələr qovluğunun altında dəqiq bir səviyyə ilə məhdudlaşdırır. Zəhərlənmiş manifest (məs. `"path": "/"`) artıq təsirsizdir.