CVE-2026-72922 in AutoGPT
Riassunto
di VulDB • 12/08/2026
AutoGPT è una piattaforma di automazione dei flussi di lavoro per la creazione, il deployment e la gestione continua di agenti di intelligenza artificiale. Prima della versione 0.6.70, l'endpoint `webhook_ingress_generic` nel file `autogpt_platform/backend/backend/api/features/integrations/router.py` di AutoGPT selezionava `get_webhook_manager(provider)` dal segmento dell'URL del provider non attendibile senza verificare il valore di `webhook.provider`, consentendo a una richiesta inviata all'indirizzo `/compass/webhooks/{webhook_id}/ingress` di utilizzare la funzione no-op ereditata da `BaseWebhooksManager.verify_signature` presente in `CompassWebhookManager` invece della corretta implementazione `GenericWebhooksManager.verify_signature`. Ciò permetteva di aggirare il controllo dell'intestazione X-Webhook-Secret per un secret_token configurato ed eseguire un grafo webhook generico come proprietario. Questo problema è stato risolto nella versione 0.6.70.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.