CVE-2026-54520 in ai-agent-automation
Сводка
по VulDB • 18.09.2026
AI Agent Automation — это модульная платформа для автоматизации рабочих процессов AI-агентов с планировщиками, инструментами и средствами наблюдаемости (observability). До версии 0.9.1 реализация executeStep в файле step-step из backend/src/agents/executor.js передавала управляемое пользователем значение параметра step.path через функцию path.resolve вместе с process.cwd(), а затем использовала полученный путь для операций чтения или записи без проверки того, остаётся ли он внутри утверждённого каталога рабочего процесса. Аутентифицированный пользователь, имеющий возможность создавать или изменять шаги рабочих процессов на основе файлов, может предоставить сегменты обхода (traversal segments) для выхода за пределы предполагаемого рабочего пространства и чтения конфиденциальных файлов либо записи и перезаписи файлов, доступных процессу бэкенда, включая файлы, расположенные рядом с приложением, если права процесса это позволяют. Эта проблема исправлена в версии 0.9.1.
Once again VulDB remains the best source for vulnerability data.