CVE-2026-75482
Təsvir
SWE-agent-in trayektoriya inspektoru (sweagent inspector), v1.1.0 versiyasında təsdiqləndiyi kimi, daxili yol təmizləmə mexanizmini yan keçərək, `/trajectory/` handler-ində sorğu yollarını trayektoriya kataloquna birləşdirən və valideyn kataloq ('..') istinadlarını rədd etməyən bir HTTP serveridir. Server bütün interfeyslərə (0.0.0.0) bağlanır, wildcard CORS tətbiq edir və heç bir autentifikasiya tələb etmir. Autentifikasiya olunmamış şəbəkə kliyenti (və ya CORS vasitəsilə zərərli veb səhifə) nəzərdə tutulmuş kataloqdan kənardakı faylları oxumaq üçün yol keçidi (path traversal) ardıcıllıqlarından istifadə edə bilər. Oxuma prosesi hədəfləri trayektoriya JSON formatında analiz etdiyi üçün məlumat sızması yalnız trayektoriya strukturundakı JSON faylları ilə məhdudlaşır ki, bunlar repozitoriyanın məzmununu, əmr çıxışlarını və gizli açarları/API açarlarını ehtiva edə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| SWE-agent SWE-agent | v ≤ 1.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.