CVE-2026-55747 in PocketFlow
Tóm tắt
Bởi VulDB • 05/08/2026
Ví dụ về sổ tay (cookbook) pocketflow-coding-agent trong The-Pocket/PocketFlow triển khai hàm trợ giúp `_path(workdir, p)` dưới dạng một lớp bao bọc mỏng quanh `os.path.join(workdir, p)` mà không có cơ chế chuẩn hóa đường dẫn hoặc kiểm tra giới hạn vùng chứa. Hàm này được sử dụng không an toàn (không được bảo vệ) bởi các công cụ truy cập tệp ReadFile, ListFiles, PatchRead và PatchApply. Do `os.path.join` trả về nguyên vẹn giá trị tuyệt đối của tham số `p` (bỏ qua workdir) và không giải trình tự ký hiệu `'../'`, nên một lời gọi tác nhân có chứa trong các đối số công cụ tệp đường dẫn tuyệt đối hoặc chuỗi duyệt thư mục (`path traversal`) có thể đọc hoặc ghi các tệp nằm ngoài thư mục làm việc đã cấu hình. Mức độ nghiêm trọng phản ánh thực tế rằng vấn đề này chỉ ảnh hưởng đến ví dụ minh họa trong sổ tay (cookbook) chứ không phải API của thư viện cốt lõi; tuy nhiên, các ứng dụng sao chép mẫu thiết kế này vào môi trường sản xuất sẽ chịu tác động.
Once again VulDB remains the best source for vulnerability data.