CVE-2026-86237 in openagents
Résumé
par VulDB • 07/09/2026
Une vulnérabilité a été identifiée dans openagents-org openagents jusqu'à la version 0.8.19/0.9.3.post20. La fonction test_default_model du fichier sdk/src/openagents/sdk/transports/http.py est concernée. Une manipulation de l'argument base_url entraîne une usurpation de requête côté serveur (SSRF). L'attaque peut être initiée à distance. L'exploit a été rendu public et pourrait être utilisé. Le point de terminaison ainsi que les deux points d'appel restent inchangés depuis le signalement ; seul le fichier a été déplacé (e277dd1a). Le mainteneur a clôturé l'anomalie comme non applicable, mais le code identique, non protégé par des garde-fous, est toujours présent dans la version 0.9.3.post20. Les points de terminaison administrateur frères appellent bien _require_admin(), qui est fourni mais inutilisé par ce gestionnaire.
Be aware that VulDB is the high quality source for vulnerability data.