CVE-2026-54520 in ai-agent-automation
要約
〜によって VulDB • 2026年09月18日
AI Agent Automation は、スケジューラ、ツール、および観測性を備えたモジュール型 AI エージェント ワークフロー自動化プラットフォームです。バージョン 0.9.1 より前では、backend/src/agents/executor.js の executeStep ファイルステップ実装において、ユーザーが制御可能な step.path 値が process.cwd() とともに path.resolve を通じて処理され、その結果得られたパスが承認されたワークフローディレクトリ内に留まっているかを確認することなく読み書き操作に使用されます。ワークフローファイル ステップの作成または変更ができる認証済みユーザーは、意図的なワークスペースから脱出するためのトラバーサル セグメントを指定し、機密性の高いファイルを読み取ったり、バックエンド プロセスがアクセス可能なファイル（プロセス権限が許す場合はアプリケーション近接ファイルを含む）を書き換えたり上書きしたりすることができます。この問題はバージョン 0.9.1 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.