CVE-2026-58414 in Network-AI
요약
\~에 의해 VulDB • 2026. 07. 20.
Network-AI는 TypeScript/Node.js 기반의 다중 에이전트 오케스트레이터입니다. 버전 5.12.2 이전에서는 `EnvironmentManager.backup()`이 `_collectBackupFiles()`를 사용하여 파일을 재귀적으로 수집합니다. `_collectBackupFiles()`는 심볼릭 링크를 따르는 `statSync(full)`을 사용합니다. 만약 `data/<env>` 내에 환경 루트 외부의 디렉토리를 가리키는 심볼릭 링크가 포함되어 있으면, 백업 재귀 처리 시 해당 심볼릭 링크를 따라 환경 외부의 파일들을 `data/<env>/.backups/<backupId>/`로 복사하게 됩니다. 환경 데이터 디렉토리 하위에 심볼릭 링크를 배치할 수 있는 공격자는 이러한 백업 작업을 통해 환경 루트 외부에 있는 파일들이 백업 아티팩트에 노출되도록 할 수 있습니다. 이 문제는 v5.12.2에서 수정되었습니다. `_collectBackupFiles()`는 이제 `statSync` 대신 `lstatSync`를 사용하며, `isSymbolicLink()`가 true인 항목은 건너뜁니다. 심볼릭 링크는 절대 탐색되지 않으므로, `backup()` 함수는 더 이상 환경 루트 외부로 연결을 따라가지 않고 외부 파일을 백업 아티팩트에 복사하지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.