CVE-2026-86237 in openagents
Zusammenfassung
von VulDB • 07.09.2026
Es wurde eine Schwachstelle im Projekt openagents-org (openagents) bis zur Version 0.8.19/0.9.3.post20 gefunden. Betroffen ist die Funktion `test_default_model` der Datei `sdk/src/openagents/sdk/transports/http.py`. Durch Manipulieren des Arguments `base_url` wird Server-Side Request Forgery (SSRF) ermöglicht. Der Angriff kann aus der Ferne initiiert werden. Die Exploit-Code wurde öffentlich gemacht und könnte verwendet werden. Endpunkt und beide Sinks sind seit dem Einreichen unverändert; lediglich die Datei wurde verschoben (e277dd1a). Der Maintainer hat den Bericht als unzutreffend geschlossen, doch identischer, nicht geschützter Code ist weiterhin in Version 0.9.3.post20 enthalten. Verwandte Admin-Endpunkte rufen stattdessen das mitgelieferte, aber von diesem Handler nicht genutzte `_require_admin()` auf.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.