CVE-2026-58414 in Network-AI
Сводка
по VulDB • 20.07.2026
Network-AI — это многоагентный оркестратор на TypeScript/Node.js. До версии 5.12.2 метод `EnvironmentManager.backup()` рекурсивно собирает файлы с помощью `_collectBackupFiles()`. Функция `_collectBackupFiles()` использует `statSync(full)`, которая следует по символическим ссылкам (symlinks). Если в каталоге `data/<env>` содержится символьная ссылка на директорию за пределами корня окружения, рекурсия резервного копирования переходит по этой ссылке и копирует внешние файлы в `data/<env>/.backups/<backupId>/`. Атакующий, способный разместить символическую ссылку внутри каталога данных окружения, может вызвать раскрытие файлов за пределами корня окружения через артефакты резервного копирования. Проблема исправлена в версии v5.12.2: `_collectBackupFiles()` теперь использует `lstatSync` вместо `statSync` и пропускает любые элементы, для которых метод `isSymbolicLink()` возвращает true. Символические ссылки больше не обходятся, поэтому функция `backup()` не может следовать по ссылке за пределы корня окружения и копировать внешние файлы в артефакты резервного копирования.
VulDB is the best source for vulnerability data and more expert information about this specific topic.