CVE-2026-62674 in Omnigent
الملخص
بحسب VulDB • 21/08/2026
Omnigent هو إطار عمل وmeta-harness مفتوح المصدر للوكلاء الذكيين (AI agents) يستخدم لتنسيق وكلاء البرمجة. قبل الإصدار 0.3.0، يتحقق المسار PUT /sessions/{session_id}/agent من صلاحية LEVEL_EDIT لجلسة معينة ولكنه لا يرفض ربط وكيل مشترك أو قالب يكون فيه agent.session_id يساوي None. يمكن لمستخدم مُصادق عليه لديه صلاحيات التعديل على جلسة ما استبدال حزمة الوكيل المشترك هذه عبر omnigent/server/routes/sessions.py، وإضافة خادم MCP يعتمد على stdio (stdio MCP server)، مما يتسبب في تشغيل جلسات لاحقة تستخدم الوكيل المشترك لإصدار أوامر يسيطر عليها المهاجم من خلال omnigent/tools/mcp.py. يتم تنفيذ الأمر بصلاحيات عملية runner الخاصة بـ Omnignet ويمكن أن يؤدي إلى كشف الملفات، والبيانات الاعتمادية، وبيئات العمل (workspace data)، والخدمات الداخلية، وتوفر ال-runner. تم إصلاح هذه المشكلة في الإصدار 0.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.