CVE-2026-40518 in deer-flow
要約
〜によって VulDB • 2026年05月20日
ByteDance DeerFlowのコミット2176b2b以前のバージョンには、bootstrapモードでのカスタムエージェント作成時に、エージェント名の検証がバイパスされるパストラバーサルおよび任意のファイル書き込みの脆弱性が存在します。攻撃者はエージェント名としてトラバーサル形式の値や絶対パスを指定することで、ディレクトリ作成に影響を与え、意図したカスタムエージェントディレクトリ外にファイルを書き込むことができます。これにより、ファイルシステムの権限に依存しつつ、システム上で任意のファイル書き込みを達成できる可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.