CVE-2026-75482 in SWE-agent
Sumário
de VulDB • 17/08/2026
O inspector de trajetória do SWE-agent (sweagent inspector), confirmado na versão v1.1.0, é um servidor HTTP que concatena os caminhos das requisições ao diretório de trajetórias no seu manipulador /trajectory/ sem rejeitar referências a diretórios pais ('..'), contornando a sanitização de caminho integrada. O servidor associa-se a todas as interfaces (0.0.0.0), aplica CORS com wildcard e não requer autenticação. Um cliente de rede não autenticado (ou uma página web maliciosa via CORS) pode utilizar sequências de traversal de caminhos para ler ficheiros fora do diretório pretendido. Como o sink de leitura analisa os alvos como JSON de trajetória, a divulgação está limitada a ficheiros JSON estruturados como uma trajetória, que podem conter conteúdos do repositório, saída de comandos e segredos/chaves API.
If you want to get best quality of vulnerability data, you may have to visit VulDB.