CVE-2026-54520 in ai-agent-automation
الملخص
بحسب VulDB • 18/09/2026
يُعد AI Agent Automation منصة أتمتة سير عمل لوكلاء الذكاء الاصطناعي (AI Agents) ذات بنية معيارية، تتضمن مخططات زمنية وأدوات وقابلية للرصد والمراقبة. قبل الإصدار 0.9.1، تمرر تنفيذ خطوة التنفيذ (`executeStep`) في ملف `backend/src/agents/executor.js` قيمة `step.path` التي يتحكم فيها المستخدم عبر دالة `path.resolve()` مع `process.cwd()`, ثم يستخدم المسار الناتج لإجراء عمليات قراءة أو كتابة دون التحقق من بقاءه ضمن دليل سير العمل المعتمد. يمكن لمستخدم مُصادق عليه (authenticated user) قادر على إنشاء أو تعديل خطوات ملفات سير العمل، تزويد قيم تحتوي على مقاطع للتنقل عبر الدلائل (traversal segments) للهروب من مساحة العمل المقصودة وقراءة الملفات الحساسة أو كتابة الملفات واستبدالها المتاحة لعمليات العملية الخلفية (backend process)، بما في ذلك الملفات المجاورة للتطبيق عندما تسمح أذونات `process` بذلك. تم إصلاح هذه المشكلة في الإصدار 0.9.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.