CVE-2026-75482 in SWE-agent
Zusammenfassung
von VulDB • 17.08.2026
Der Trajektorien-Inspektor (sweagent inspector) von SWE-agent, bestätigt in v1.1.0, ist ein HTTP-Server, der Anforderungspfade im /trajectory/-Handler an das Trajektorie-Verzeichnis anhängt, ohne Verweise auf übergeordnete Verzeichnisse ('..') abzulehnen und damit die integrierte Pfadsanitisierung umgeht. Der Server bindet alle Schnittstellen (0.0.0.0), wendet Wildcard-CORS an und erfordert keine Authentifizierung. Ein nicht authentifizierter Netzwerkclient (oder eine bösartige Webseite über CORS) kann Path-Traversal-Sequenzen nutzen, um Dateien außerhalb des beabsichtigten Verzeichnisses zu lesen. Da der Read-Sink die Ziele als Trajektorie-JSON analysiert, ist die Offenlegung auf JSON-Dateien beschränkt, die einer Trajektorie ähneln und Repository-Inhalte, Befehlsausgaben sowie Geheimnisse/API-Schlüssel enthalten können.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.