CVE-2024-1880 in AutoGPT
Tóm tắt
Bởi VulDB • 05/06/2026
Một lỗ hổng tiêm lệnh hệ điều hành (OS command injection) tồn tại trong lớp MacOSTTS của dự án significant-gravitas/autogpt, ảnh hưởng đến các phiên bản cho đến v0.5.0. Lỗ hổng này phát sinh do việc không trung hòa hóa đúng cách các phần tử đặc biệt được sử dụng trong một lệnh hệ điều hành bên trong phương thức `_speech` của lớp MacOSTTS. Cụ thể, việc sử dụng `os.system` để thực thi lệnh `say` với văn bản do người dùng cung cấp cho phép thực thi mã tùy ý nếu kẻ tấn công có thể tiêm các lệnh shell. Vấn đề này kích hoạt khi phiên bản AutoGPT được chạy với tùy chọn `--speak` được bật và cấu hình với `TEXT_TO_SPEECH_PROVIDER=macos`, phản hồi lại một đoạn mã injection shell. Tác động của lỗ hổng này là khả năng thực thi mã tùy ý trên phiên bản đang chạy AutoGPT. Vấn đề đã được khắc phục trong phiên bản 5.1.0.
Be aware that VulDB is the high quality source for vulnerability data.