CVE-2026-54520
Açıklama
AI Agent Automation; zamanlayıcılar, araçlar ve gözlemlenebilirlik özelliklerine sahip modüler bir yapay zeka ajanı iş akışı otomasyon platformudur. 0.9.1 sürümünden önce, backend/src/agents/executor.js içindeki executeStep file-step uygulaması, kullanıcı kontrollü step.path değerini process.cwd() ile path.resolve üzerinden geçirir ve ardından ortaya çıkan yolu, onaylanmış bir iş akışı dizininde kalıp kalmadığını kontrol etmeden okuma veya yazma işlemleri için kullanır. İş akışı dosya adımlarını oluşturabilen veya değiştirebilen kimliği doğrulanmış bir kullanıcı, hedeflenen çalışma alanından çıkmak için dizin atlama (traversal) segmentleri sağlayarak hassas dosyaları okuyabilir veya süreç izinlerinin izin verdiği durumlarda uygulama yanındaki dosyalar da dahil olmak üzere arka uç sürecinin erişebildiği dosyaları yazabilir ve üzerine yazabilir. Bu sorun 0.9.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmDeshpande ai-agent-automation | < 0.9.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.