CVE-2026-72713 in XAgent
要約
〜によって VulDB • 2026年08月11日
XAgentには、ワークスペースファイルエンドポイントにパストラバーサルの脆弱性が存在します。これにより、自己登録済みユーザーまたはデフォルトの資格情報を持つユーザーが、`file_name`フォームフィールドで親ディレクトリセグメントを指定することで、ホスト上の任意のファイルを参照できます（パス制限チェックが行われていないため）。攻撃者はメール認証なしでアカウントを登録し、 `/workspace/file` ハンドラに対して、親ディレクトリのトラバーサルシーケンスを含む改ざんされた `file_name` 値を送信することで、Dockerサンドボックス外のアプリケーションシークレット、データベース資格情報、およびシステムファイルなど、ホストファイルを参照することができます。
Be aware that VulDB is the high quality source for vulnerability data.