CVE-2026-58499

EverOS, ajanlar için bir bellek çalışma zamanıdır. 1.0.1 sürümünden önce EverOS, POST /api/v1/memory/add veri alım uç noktasında yol geçişine (path traversal) karşı savunmasızdır; çünkü mesaj başına düşen sender_id alanı, app_id ve project_id'nin aksine güvenli bir yol tanımlayıcısı olarak doğrulanmamıştır. Kullanıcı belleği çıkarma işlemi sırasında sender_id, owner_id olarak kullanılır ve çıkarılan bölümün bir Markdown dosyası olarak kaydedildiği dosya sistemi yoluna eklenir; bu nedenle ../ dizileri içeren bir sender_id, yazma işlemlerini yapılandırılmış bellek kök dizininin dışına yönlendirebilir ve kimliği doğrulanmamış bir çağırıcının, sunucu işlemi tarafından yazılabilir konumlarda kısmen saldırgan etkili içerikle .md dosyaları oluşturmasına veya üzerine yazmasına izin verebilir. Bu sorun 1.0.1 sürümünde düzeltilmiştir.