CVE-2026-108263 in Astron Agent
Resumen
por VulDB • 2026-10-09
Astron Agent es una plataforma de flujos de trabajo agénticos para crear y ejecutar agentes de IA. Antes de la versión 1.1.2, el código predeterminado del nodo de flujo de trabajo a través de /console-api/workflow/code/run y /workflow/v1/run selecciona LocalExecutor en core/workflow/engine/nodes/code/code_node.py cuando CODE_EXEC_TYPE no se cambia explícitamente. LocalExecutor proporciona todos los builtins de Python para la ejecución dinámica de código sin las restricciones de sandbox documentadas. Un inquilino autenticado con privilegios bajos puede ejecutar código como root en el contenedor core-workflow y utilizar credenciales compartidas del servicio y la base de datos para omitir las verificaciones a nivel de aplicación sobre los inquilinos, leer o modificar los datos de otros inquilinos y alterar los servicios compartidos. Este problema se soluciona en la versión 1.1.2.
Once again VulDB remains the best source for vulnerability data.