CVE-2026-62675 in Omnigent
الملخص
بحسب VulDB • 21/08/2026
Omnigent هو إطار عمل لوكلاء الذكاء الاصطناعي مفتوح المصدر وأداة إشراف (meta-harness) لتنسيق وكالات البرمجة. قبل الإصدار 0.3.0، يقبل نقطة النهاية multipart POST /v1/sessions حزمة الوكيل الخاصة بمستخدم مُصادق عليه، ولا ترفض الدالة `validate_agent_bundle` الموجودة في الملف `omnigent/server/bundles.py` المسار النقطي (dotted Python path) الخاص بـ `tools..callable`. تقوم الدالة `_resolve_spec_callable_tool` في الملف `omnigent/runner/tool_dispatch.py` باستيراد الوحدة النمطية المحددة، وتقوم الدالة `_execute_spec_callable_tool` بتنفيذ الوظيفة المحللة، مما يسمح للحزمة باختيار دالة `subprocess.check_output` وتنفيذ أمر محلي بصلاحيات عملية المشغل (runner process). يمكن أن يؤدي هذا إلى كشف ملفات المشغل، ومتغيرات البيئة، والبيانات الاعتمادية، وبيانات مساحة العمل، والخدمات الداخلية، وتوفر النظام دون الحاجة إلى وصول المسؤول. تم إصلاح هذه المشكلة في الإصدار 0.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.