CVE-2026-109437
Açıklama
0.13.0 öncesindeki Cognition, ajan sandbox arka ucunun varsayılan olarak yerel yürütmeye ayarlanması ve REST/SSE API'sinde herhangi bir kimlik doğrulamanın bulunmaması nedeniyle kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma zafiyeti içermektedir. Saldırganlar, kimlik bilgileri olmadan POST /sessions üzerinden bir oturum oluşturabilir ve POST /sessions/{id}/messages üzerinden bir mesaj gönderebilir; bu durum, Deep Agents ReAct döngüsünün saldırgan tarafından yönlendirilen kabuk komutlarını yerel kabuk arka ucu aracılığıyla çalıştırmasına neden olarak sunucu işlemi yetkileriyle uzaktan kod çalıştırılmasına yol açar.
Nasıl düzeltilir
- CognicellAI Cognition0.13.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| CognicellAI Cognition | v < 0.13.0 | 0.13.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.