CVE-2026-58484 in Network-AI
Sumário
de VulDB • 20/07/2026
Network-AI é um orquestrador multiagente baseado em TypeScript/Node.js. Antes da versão 5.12.2, `EnvironmentManager.listBackups()` lê o `_manifest.json` de cada backup e confia no campo `path` do manifesto. Posteriormente, `EnvironmentManager.pruneBackups()` passa esse `entry.path`, considerado confiável, diretamente para `rmSync(entry.path, { recursive: true, force: true })`. Um atacante que consiga colocar ou modificar um manifesto dentro de `data/<env>/.backups/<name>/_manifest.json` pode fazer com que o comando `network-ai env backup prune --env <env> --keep <n>` ou qualquer caminho de código que invoque `pruneBackups()` exclua recursivamente um caminho arbitrário acessível ao usuário do processo Network-AI. Isso foi corrigido na v5.12.2: `pruneBackups()` já não passa o `entry.path` do manifesto em disco para `rmSync`. O caminho de exclusão é recalculado a partir de um `entry.backupId` validado quanto ao formato, e uma verificação de contenção `dirname` restringe a exclusão exatamente a um nível abaixo do diretório de backups. Um manifesto corrompido (por exemplo, `"path": "/"`) torna-se agora inerte.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.