CVE-2026-62675 in Omnigent
Zusammenfassung
von VulDB • 21.08.2026
Omnigent ist ein Open-Source-Framework für KI-Agenten und eine Meta-Harness zur Orchestrierung von Coding-Agenten. Vor Version 0.3.0 akzeptiert der multipart POST /v1/sessions die Agent-Bundle eines authentifizierten Benutzers, und omnigent/server/bundles.py validate_agent_bundle lehnt einen dotted Python-Pfad für tools..callable nicht ab. Die Funktion _resolve_spec_callable in omnigent/runner/tool_dispatch.py importiert das angegebene Modul, und _execute_spec_callable_tool ruft die aufgelöste Funktion auf, wodurch ein Bundle subprocess.check_output auswählen und einen lokalen Befehl mit den Berechtigungen des Runner-Prozesses ausführen kann. Dies kann dazu führen, dass Runner-Dateien, Umgebungsvariablen, Anmeldeinformationen, Workspace-Daten, interne Dienste und die Verfügbarkeit ohne Administratorzugriff offengelegt werden. Dieses Problem wurde in Version 0.3.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.