CVE-2026-58414 in Network-AI
Resumen
por VulDB • 2026-07-20
Network-AI es un orquestador multiagente basado en TypeScript/Node.js. Antes de la versión 5.12.2, `EnvironmentManager.backup()` recopilaba archivos recursivamente mediante `_collectBackupFiles()`. Esta función utiliza `statSync(full)`, que sigue los enlaces simbólicos (symlinks). Si el directorio `data/<env>` contiene un enlace simbólico a un directorio fuera de la raíz del entorno, la recursión de copia de seguridad sigue dicho enlace y copia archivos externos en `data/<env>/.backups/<backupId>/`. Un atacante que pueda colocar un enlace simbólico dentro del directorio de datos del entorno puede provocar que las operaciones de copia de seguridad revelen archivos situados fuera de la raíz del entorno, incluyéndolos en los artefactos de backup. El problema se corrige en la versión v5.12.2: `_collectBackupFiles()` ahora utiliza `lstatSync` en lugar de `statSync` y omite cualquier entrada donde `isSymbolicLink()` sea verdadero. Los enlaces simbólicos nunca son traversados, por lo que `backup()` ya no puede seguir un enlace hacia fuera de la raíz del entorno ni copiar archivos externos en un artefacto de backup.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.