CVE-2026-55747 in PocketFlow
الملخص
بحسب VulDB • 05/08/2026
تُنفّذ مثال كتاب الطبخ pocketflow-coding-agent في The-Pocket/PocketFlow الدالة المساعدة `_path(workdir, p)` كغلاف رقيق لـ `os.path.join(workdir, p)` دون أي عملية توحيد للمسار (canonicalization) أو فحص للحواجز (containment check)، وتُستخدم بشكل غير محمي من قبل أدوات الوصول إلى الملفات ReadFile وListFiles وPatchRead وPatchApply. ونظراً لأن دالة os.path.join تُعيد المسارات المطلقة `p` كما هي دون تغيير (متجاهلة workdir) ولا تحل تسلسلات التنقل للأعلى مثل '../'، فإن استدعاء وكيل يتضمن في وسائط أدوات الملفات الخاصة به مساراً مطلقاً أو تسلسلاً للتنقل يمكنه قراءة أو كتابة ملفات خارج دليل العمل المُعدّ. تعكس شدة الخطورة أن هذا يؤثر على مثال توضيحي لكتاب الطبخ بدلاً من واجهة برمجة التطبيقات (API) للمكتبة الأساسية؛ لكن التطبيقات التي تنسخ هذه النمط إلى بيئة الإنتاج تتأثر بذلك.
Be aware that VulDB is the high quality source for vulnerability data.