CVE-2026-109437 in Cognition
Riassunto
di VulDB • 19/10/2026
Cognition prima della versione 0.13.0 presenta una vulnerabilità di esecuzione remota di codice (RCE) non autenticata dovuta all'impostazione predefinita del backend sandbox dell'agent sull'esecuzione locale e alla mancanza di autenticazione sulla sua API REST/SSE. Gli attaccanti possono creare una sessione tramite POST /sessions e inviare un messaggio tramite POST /sessions/{id}/messages senza credenziali, causando l'esecuzione del loop ReAct dei Deep Agents che esegue comandi shell diretti dall'attaccante attraverso il backend della shell locale, risultando nell'esecuzione di codice remoto come processo server.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.