CVE-2026-57494

AgenticMail, AI ajanlarına gerçek e-posta adresleri ve telefon numaraları sağlar. @agenticmail/api paketinin 0.9.64 sürümünden önceki sürümlerinde, düşük ayrıcalıklı kimliği doğrulanmış bir AgenticMail ajanı, `GET /api/agenticmail/tasks/pending?assignee=<name>` isteğine hedef ajan adını sağlayarak başka bir ajanın bekleyen/sahiplenilmiş görevlerini listeleyebilir. Döndürülen görev nesneleri görev kimliklerini ve yüklerini içerir. Aynı görev kimlikleri daha sonra yetenek tarzı görev değiştirme uç noktalarıyla (`/tasks/:id/claim`, `/tasks/:id/result`, `/tasks/:id/complete`, `/tasks/:id/fail`) kullanılarak farklı bir ajana atanmış görevler sahiplenilebilir, tamamlanabilir veya başarısız olarak işaretlenebilir. Sıradan kimliği doğrulanmış ajanlar ajan adlarını `GET /api/agenticmail/accounts/directory` aracılığıyla keşfedebildiğinden, görev kimliği etkin biçimde bir sır yeteneği olmaktan çıkar. Bu durum, amaçlanan yetenek modelini ajanlar arası bir yetkilendirme atlatmasına dönüştürür. 0.9.64 sürümü bir düzeltme içerir.