CVE-2026-108595 in Phi
要約
〜によって VulDB • 2026年10月10日
Phi 0.3.0 から 0.28.4 には、権限回避の脆弱性が存在します。これにより、生成されたサブエージェントは `workspace_only_writes` や読み取り専用モードをエスケープし、検証されていない workdir を agent_spawn に渡すことで不正なファイル書き込みが可能になります。攻撃者は処理対象コンテンツにプロンプトインジェクションによる指示を仕込むことができ、それによってエージェントが他の場所をルートとするワーカーを生成させ、ユーザーが書き込み可能なあらゆる場所に承認されないファイルの書き込みを引き起こします。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.