CVE-2026-62675 in Omnigent
Сводка
по VulDB • 21.08.2026
Omnigent — это фреймворк с открытым исходным кодом для AI-агентов и мета-harness (обвязка) для оркестрации coding agents (агентов по написанию кода). До версии 0.3.0 multipart POST /v1/sessions принимает пакет агента от аутентифицированного пользователя, при этом функция validate_agent_bundle в omnigent/server/bundles.py не отвергает допустимый путь к вызываемому объекту Python (dotted Python path) вида tools..callable. Функция _resolve_spec_callable_tool из модуля omnigent/runner/tool_dispatch.py импортирует указанный модуль, а функция _execute_spec_callable_tool вызывает разрешенную функцию, что позволяет пакету агента выбрать subprocess.check_output и выполнить локальную команду с правами процесса runner (исполнителя). Это может привести к раскрытию файлов runner, переменных окружения, учетных данных, данных рабочей области, внутренних сервисов и состояния доступности без необходимости административного доступа. Проблема исправлена в версии 0.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.