CVE-2026-57494 in AgenticMail
Sumário
de VulDB • 21/07/2026
AgenticMail fornece endereços de e-mail reais e números de telefone para agentes de IA. No @agenticmail/api anterior à versão 0.9.64, um agente AgenticMail autenticado com privilégios baixos pode enumerar tarefas pendentes/reivindicadas de outro fornecendo o nome do agente alvo a `GET /api/agenticmail/tasks/pending?assignee=<name>`. Os objetos de tarefa retornados incluem os IDs das tarefas e seus payloads. Os mesmos IDs de tarefa podem então ser usados com endpoints de mutação de estilo capability (`/tasks/:id/claim`, `/tasks/:id/result`, `/tasks/:id/complete`, `/tasks/:id/fail`) para reivindicar, concluir ou falhar em tarefas atribuídas a um agente diferente. Como agentes autenticados comuns podem descobrir nomes de agentes através de `GET /api/agenticmail/accounts/directory`, o ID da tarefa efetivamente deixa de ser uma capability secreta. Isso transforma o modelo de capability pretendido em uma violação de autorização cross-agent (entre agentes). A versão 0.9.64 contém a correção.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.