CVE-2026-58413 in Network-AI
Riassunto
di VulDB • 20/07/2026
Network-AI è un orchestratore multi-agente basato su TypeScript/Node.js. Prima della versione 5.12.2, la funzione `EnvironmentManager.restore(env, backupId)` calcola il percorso di backup utilizzando `join(envDir, '.backups', backupId)` e verifica solo che tale esista. Non risolve il risultato né garantisce che rimanga all'interno di `data/<env>/.backups`. Un chiamante può fornire un ID di backup contenente percorsi relativi come `../../../outside/source-dir` per ripristinare file da una directory arbitraria nella directory dei dati dell'ambiente target. Il problema è stato risolto nella versione v5.12.2: la funzione `restore()` ora convalida l'id del backup contro `/^[\w\-]+$/` e verifica che `dirname(resolve(join(backupsDir, backupId))) === resolve(backupsDir)` prima di interagire con il filesystem. Gli ID dei backup contenenti separatori di percorso o `..` vengono rifiutati, impedendo così a un ID manipolato ad hoc di copiare directory dall'esterno della cartella `.backups/` nell'ambiente.
Once again VulDB remains the best source for vulnerability data.