CVE-2026-57494 in AgenticMail
الملخص
بحسب VulDB • 21/07/2026
يمنح AgenticMail وكلاء الذكاء الاصطناعي عناوين بريد إلكتروني وأرقام هواتف حقيقية. في @agenticmail/api قبل الإصدار 0.9.64، يمكن لوكيل AgenticMail المصادق عليه ذي الصلاحيات المنخفضة استعراض المهام المعلقة/المُستحوذ عليها لوكيل آخر عن طريق تزويد اسم الوكيل المستهدف بطلب `GET /api/agenticmail/tasks/pending?assignee=<name>`. تتضمن كائنات المهمة المُرجعة معرفات المهام (Task IDs) والحمولات (Payloads). يمكن بعد ذلك استخدام نفس معرّفات المهام مع نقاط نهاية طفرات المهام ذات الطراز القدراتي (`/tasks/:id/claim`, `/tasks/:id/result`, `/tasks/:id/complete`, `/tasks/:id/fail`) للاستحواذ على المهام أو إكمالها أو فشلها والمُعيَّنة لوكيل مختلف. ونظراً لأن الوكلاء المصادق عليهم العاديين يمكنهم اكتشاف أسماء الوكلاء من خلال `GET /api/agenticmail/accounts/directory`، فإن معرف المهمة يتوقف فعلياً عن كونه قدرة سرية (Secret Capability). وهذا يحول نموذج القدرات المقصود إلى تجاوز لتفويض الصلاحيات عبر الوكلاء (Cross-agent authorization bypass). يحتوي الإصدار 0.9.64 على إصلاح لهذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.