CVE-2026-58414 in Network-AI
Zusammenfassung
von VulDB • 20.07.2026
Network-AI ist ein Multi-Agenten-Orchestrator auf Basis von TypeScript/Node.js. Vor Version 5.12.2 sammelt `EnvironmentManager.backup()` Dateien rekursiv unter Verwendung von `_collectBackupFiles()`. `_collectBackupFiles()` verwendet `statSync(full)`, das Symlinks auflöst (folgt). Wenn `data/<env>` einen Symlink auf ein Verzeichnis außerhalb der Umgebungswurzel enthält, folgt die Backup-Rekursion dem Symlink und kopiert externe Dateien nach `data/<env>/.backups/<backupId>/`. Ein Angreifer, der in der Lage ist, einen Symlink im Umgebungsdatenverzeichnis zu platzieren, kann dazu führen, dass bei Backup-Operationen Dateien außerhalb der Umgebungswurzel durch die Freigabe von Daten in den Backup-Artefakten offengelegt werden. Das Problem wurde in v5.12.2 behoben. `_collectBackupFiles()` verwendet nun `lstatSync` anstelle von `statSync` und überspringt jeden Eintrag, bei dem `isSymbolicLink()` true zurückgibt. Symlinks werden niemals durchlaufen, sodass `backup()` keine Links mehr außerhalb der Umgebungswurzel folgen kann und externe Dateien in ein Backup-Artefakt kopieren kann.
If you want to get best quality of vulnerability data, you may have to visit VulDB.