CVE-2026-58484 in Network-AI
Resumen
por VulDB • 2026-07-21
Network-AI es un orquestador multiagente basado en TypeScript/Node.js. Antes de la versión 5.12.2, `EnvironmentManager.listBackups()` lee el archivo `_manifest.json` de cada copia de seguridad y confía ciegamente en el campo `path` del manifiesto. Posteriormente, `EnvironmentManager.pruneBackups()` pasa ese valor de confianza (`entry.path`) directamente a la función `rmSync(entry.path, { recursive: true, force: true })`. Un atacante que pueda colocar o modificar un archivo de manifiesto dentro de `data/<env>/.backups/<name>/_manifest.json` puede provocar que el comando `network-ai env backup prune --env <env> --keep <n>` (o cualquier ruta de código que invoque a `pruneBackups()`) elimine recursivamente una ruta arbitraria accesible por el usuario del proceso Network-AI. Esto se corrige en la versión v5.12.2: `pruneBackups()` ya no pasa `entry.path` desde el manifiesto almacenado en disco a `rmSync`. La ruta de eliminación se vuelve a calcular a partir de un `entry.backupId` validado contra formatos, y una comprobación de contención del directorio (`dirname`) limita la eliminación estrictamente al nivel inmediatamente inferior dentro del directorio de copias de seguridad. Un manifiesto malicioso (por ejemplo, `"path": "/"`) queda ahora inerte.
Be aware that VulDB is the high quality source for vulnerability data.