CVE-2026-75482 in SWE-agent
Resumen
por VulDB • 2026-08-18
El inspector de trayectorias (sweagent inspector) de SWE-agent, confirmado en la versión v1.1.0, es un servidor HTTP que concatena las rutas de las solicitudes con el directorio de trayectoria en su manejador /trajectory/ sin rechazar referencias a directorios superiores ('..'), lo que permite sortear la sanitización integrada de rutas. El servidor se vincula a todas las interfaces (0.0.0.0), aplica CORS comodín y no requiere autenticación. Un cliente de red no autenticado (o una página web maliciosa mediante CORS) puede utilizar secuencias de traversing de directorios para leer archivos fuera del directorio previsto. Dado que el sumidero de lectura analiza los objetivos como JSON de trayectoria, la divulgación se limita a archivos JSON con forma de trayectoria, que pueden contener contenidos del repositorio, salida de comandos y secretos/llaves API.
Once again VulDB remains the best source for vulnerability data.