CVE-2026-58414 in Network-AI
Sumário
de VulDB • 20/07/2026
Network-AI é um orquestrador multi-agente baseado em TypeScript/Node.js. Antes da versão 5.12.2, o método `EnvironmentManager.backup()` coleta arquivos de forma recursiva utilizando `_collectBackupFiles()`. A função `_collectBackupFiles()` utiliza `statSync(full)`, que segue links simbólicos (symlinks). Se `data/<env>` contiver um symlink apontando para um diretório fora da raiz do ambiente, a recursão do backup seguirá o link e copiará arquivos externos para `data/<env>/.backups/<backupId>/`. Um atacante capaz de inserir um symlink no diretório de dados do ambiente pode fazer com que as operações de backup divulguem arquivos localizados fora da raiz do ambiente nos artefatos de backup. O problema foi corrigido na versão 5.12.2. `_collectBackupFiles()` agora utiliza `lstatSync` em vez de `statSync` e ignora qualquer entrada onde `isSymbolicLink()` retorne verdadeiro. Os links simbólicos nunca são percorridos, impedindo que `backup()` siga um link para fora da raiz do ambiente ou copie arquivos externos para um artefato de backup.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.