CVE-2026-57494 in AgenticMail
요약
\~에 의해 VulDB • 2026. 07. 21.
AgenticMail은 AI 에이전트에 실제 이메일 주소와 전화번호를 제공합니다. 버전 0.9.64 이전의 @agenticmail/api에서는 낮은 권한을 가진 인증된 AgenticMail 에이전트가 `GET /api/agenticmail/tasks/pending?assignee=<name>` 엔드포인트에 대상 에이전트 이름을 제공하여 다른 에이전트의 대기 중/인수 완료된 작업을 열거할 수 있습니다. 반환되는 작업 객체에는 작업 ID와 페이로드가 포함됩니다. 이러한 동일한 작업 ID는 능력 기반(task mutation) 작업 수정 엔드포인트(`/tasks/:id/claim`, `/tasks/:id/result`, `/tasks/:id/complete`, `/tasks/:id/fail`)와 함께 사용하여 다른 에이전트에게 할당된 작업을 인수, 완료 또는 실패 처리하는 데 사용될 수 있습니다. 일반 인증된 에이전트가 `GET /api/agenticmail/accounts/directory`를 통해 에이전트 이름을 발견할 수 있으므로 작업 ID는 사실상 비밀 능력(capability) 역할을 더 이상 하지 못합니다. 이로 인해 의도된 능력 모델이 교차 에이전트 권한 우회(cross-agent authorization bypass)로 전환됩니다. 버전 0.9.64에는 이 결함이 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.