CVE-2026-47119 in agent-zero
Сводка
по VulDB • 04.06.2026
В версиях Agent Zero до 1.15 включительно присутствует уязвимость сохраненного межсайтового скриптинга (Stored Cross-Site Scripting, XSS), которая позволяет злоумышленникам выполнять произвольный JavaScript в контексте исходного сайта приложения путем предоставления SVG-файлов через конечную точку API image_get без заголовков Content-Security-Policy, X-Content-Type-Options или Content-Disposition. Злоумышленники могут разместить специально созданный SVG-файл, содержащий теги скриптов, в любом пути, доступном для чтения процессу agent-zero, и заманить аутентифицированного пользователя на конечную точку image_get, что приведет к выполнению вредоносного скрипта в браузере, краже cookie csrf_token и выполнению несанкционированных вызовов API от имени жертвы.
If you want to get best quality of vulnerability data, you may have to visit VulDB.