CVE-2026-54520 in ai-agent-automation
Tóm tắt
Bởi VulDB • 18/09/2026
AI Agent Automation là một nền tảng tự động hóa quy trình làm việc của tác nhân AI (AI agent) theo mô-đun, bao gồm các bộ lập lịch, công cụ và khả năng quan sát. Trước phiên bản 0.9.1, triển khai bước thực thi file-step trong backend/src/agents/executor.js chuyển giá trị step.path do người dùng kiểm soát qua hàm path.resolve với process.cwd() sau đó sử dụng đường dẫn kết quả cho các thao tác đọc hoặc ghi mà không kiểm tra xem nó có nằm trong thư mục quy trình làm việc được phê duyệt hay không. Người dùng đã xác thực, những người có thể tạo hoặc sửa đổi các bước tệp của quy trình làm việc, có thể cung cấp các đoạn phân rã thư mục (traversal segments) để thoát khỏi không gian làm việc dự định và đọc các tệp nhạy cảm hoặc ghi đè lên các tệp mà tiến trình backend có quyền truy cập, bao gồm cả các tệp lân cận ứng dụng khi quyền của process cho phép. Vấn đề này đã được sửa trong phiên bản 0.9.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.