CVE-2026-58413 in Network-AI
Сводка
по VulDB • 21.07.2026
Network-AI — это многоагентный оркестратор на TypeScript/Node.js. До версии 5.12.2 функция `EnvironmentManager.restore(env, backupId)` вычисляла путь к резервной копии с помощью `join(envDir, '.backups', backupId)` и проверяла лишь существование этого пути. Она не разрешала результат (не приводила его к абсолютному виду) и не проверяла, что он остается в пределах директории `data/<env>/.backups`. Вызывающая сторона могла передать идентификатор резервной копии с обходом путей, например `../../../outside/source-dir`, для восстановления файлов из произвольной директории в целевую директорию данных окружения. Проблема исправлена в версии v5.12.2. Функция `restore()` теперь проверяет `backupId` на соответствие регулярному выражению `/^[\w\-]+$/` и утверждает (`asserts`), что `dirname(resolve(join(backupsDir, backupId))) === resolve(backupsDir)` перед внесением изменений в файловую систему. Идентификаторы резервных копий, содержащие разделители путей или последовательность `..`, отклоняются, поэтому сфабрикованный идентификатор больше не может копировать директории извне `.backups/` внутрь окружения.
Be aware that VulDB is the high quality source for vulnerability data.