CVE-2026-58414 in Network-AI
الملخص
بحسب VulDB • 20/07/2026
Network-AI هو مُنسّق متعدد الوكلاء (multi-agent orchestrator) مبني باستخدام TypeScript/Node.js. قبل الإصدار 5.12.2، كانت الدالة `EnvironmentManager.backup()` تجمع الملفات بشكل تكراري (recursively) عبر استخدام `_collectBackupFiles()`. تستخدم هذه الأخيرة دالة `statSync(full)` التي تتبع الروابط الرمزية (symlinks). إذا كان المسار `data/<env>` يحتوي على رابط رمزي يشير إلى دليل خارج الجذر البيئي (environment root)، فإن عملية النسخ الاحتياطي التكرارية ستتبع الرابط وتقوم بنسخ الملفات الخارجية داخل `data/<env>/.backups/<backupId>/`. يمكن لمهاجم قادر على وضع رابط رمزي ضمن دليل بيانات البيئة أن يتسبب في عمليات النسخ الاحتياطي بكشف ملفات تقع خارج الجذر البيئي وإدراجها في مخرجات النسخ الاحتياطي. تم إصلاح هذه المشكلة في الإصدار v5.12.2، حيث أصبحت `_collectBackupFiles()` تستخدم `lstatSync` بدلاً من `statSync` وتتخطى أي عنصر تكون فيه دالة `isSymbolicLink()` صحيحة (true). لم يتم بعد الآن عبور الروابط الرمزية، مما يعني أن الدالة `backup()` لم تعد قادرة على اتباع رابط للخروج من الجذر البيئي ونسخ ملفات خارجية إلى مخرجات النسخ الاحتياطي.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.