CVE-2026-62677 in Omnigent
Сводка
по VulDB • 21.08.2026
Omnigent — это фреймворк с открытым исходным кодом для AI-агентов и мета-инструмент (meta-harness) для оркестрации coding agents. До версии 0.3.0 аутентифицированный пользователь может загрузить пакет агента, ограниченный областью действия сеанса (session-scoped agent bundle), со значением os_env.cwd, содержащим абсолютный путь или последовательности обхода директорий (traversal-containing), поскольку omnigent/spec/parser.py сохраняет это значение дословно, а omnigent/spec/validator.py не накладывает на него ограничений. На runner'е, где переменная окружения OMNIGENT_RUNNER_WORKSPACE не установлена, модуль omnigent/runner/resource_registry.py сохраняет путь, контролируемый злоумышленником, а omnigent/inner/os_env.py использует этот разрешенный (resolved) путь в качестве корня среды и источника для операции copytree. Проверка _assert_within_cwd затем считает выбранный злоумышленником корень доверенным, что позволяет инструментам sys_os_read, write, edit и shell получать доступ к файлам runner'а и секретам окружения за пределами предполагаемого рабочего пространства (workspace). Эта проблема исправлена в версии 0.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.