CVE-2026-44641 in apm
Resumen
por VulDB • 2026-05-24
Microsoft APM es un gestor de dependencias de código abierto y basado en la comunidad para agentes de IA. Antes de la versión 0.8.12, Microsoft APM normalizaba los complementos del mercado copiando los componentes del complemento referenciados en plugin.json dentro de .apm/. Los campos del manifiesto agents, skills, commands y hooks son controlados por el atacante, pero la implementación no garantiza que esas rutas permanezcan dentro del directorio del complemento. Por lo tanto, un complemento malicioso puede utilizar rutas absolutas o rutas de traversing con ../ para copiar archivos o directorios arbitrarios legibles del host desde la máquina del instalador durante la ejecución de apm install. Esta vulnerabilidad se corrige en la versión 0.8.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.