CVE-2026-58170

0.1.10 sürümünden önceki Vibe-Trading, çağırıcı tarafından sağlanan teklif tanımlayıcısını herhangi bir temizleme işlemi yapmadan broker teklifleri dizinine ekleyerek teklif dosya yolunu oluşturur (agent/src/live/mandate/commit.py). Yol atlama (path traversal) dizileri içeren bir teklif tanımlayıcısı, uygulamanın saldırgan tarafından kontrol edilen bir JSON dosyasını yetkili bir canlı işlem talimatı olarak yüklemesine neden olur. Dosya yükleme uç noktasıyla birleştirildiğinde, kabul edilmiş bir çağırıcı bilinen bir konuma JSON dosyası yazabilir ve buna erişebilir; tavan değerleri doğrulaması, bu değerler mevcut olmadığında atlandığı için saldırgan onaylanmış talimatı tamamen kontrol edebilir.