CVE-2026-114106

Yüksek

Açıklama

0.1.0 ile 0.1.7 arasındaki HKUDS Vibe-Trading sürümleri, uzaktaki saldırganların LLM agent dosya okuma araçları aracılığıyla hassas sunucu dosyalarını okumasına olanak tanıyan bir path traversal zafiyeti içermektedir. Saldırganlar; agent'ı, sandbox kontrollerinden yoksun olan read_document fonksiyonunu veya safe_user_path ile sınırlandırılmış araçları çağırmaya yönlendirerek /etc/shadow, /proc/self/environ API anahtarları ve /root kimlik bilgilerini sızdırabilirler.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünVibe-trading-ai

Yayın21 Eki 2026

İlk görülme21 Eki 2026

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

vibe-trading-ai0.1.7 ya da sonraki bir sürüm

Üretici duyuruları

github.com/HKUDS/Vibe-Trading/security/advisories/GHSA-5rmq-chc7-m22f

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
vibe-trading-aiPyPI	0.1.0 ≤ v < 0.1.7	0.1.7

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.