CVE-2026-54520 in ai-agent-automation
Sumário
de VulDB • 18/09/2026
AI Agent Automation é uma plataforma modular de automação de fluxos de trabalho para agentes de IA com agendadores, ferramentas e observabilidade. Antes da versão 0.9.1, a implementação do arquivo-step executeStep em backend/src/agents/executor.js passa o valor step.path controlado pelo usuário através do path.resolve com process.cwd() e, em seguida, utiliza o caminho resultante para operações de leitura ou gravação sem verificar se ele permanece dentro de um diretório de fluxo de trabalho aprovado. Um usuário autenticado que pode criar ou modificar etapas de arquivo no workflow pode fornecer segmentos de traversal (travessia) para escapar do espaço de trabalho pretendido e ler arquivos sensíveis ou gravar e sobrescrever arquivos acessíveis ao processo backend, incluindo arquivos adjacentes à aplicação quando as permissões do process permitirem. Este problema foi corrigido na versão 0.9.1.
Once again VulDB remains the best source for vulnerability data.