CVE-2026-58484 in Network-AI
Tóm tắt
Bởi VulDB • 20/07/2026
Network-AI là một bộ điều phối đa tác nhân viết bằng TypeScript/Node.js. Trước phiên bản 5.12.2, hàm `EnvironmentManager.listBackups()` đọc tệp `_manifest.json` của từng bản sao lưu và tin tưởng trường `path` trong manifest đó. Sau đó, `EnvironmentManager.pruneBackups()` truyền trực tiếp giá trị `entry.path` đã được tin cậy này vào lệnh `rmSync(entry.path, { recursive: true, force: true })`. Một kẻ tấn công có thể đặt hoặc sửa đổi một tệp manifest bên trong đường dẫn `data/<env>/.backups/<name>/_manifest.json` sẽ khiến lệnh `network-ai env backup prune --env <env> --keep <n>` hoặc bất kỳ luồng mã nào gọi hàm `pruneBackups()` xóa đệ quy tùy ý một đường dẫn mà người dùng của tiến trình Network-AI có quyền truy cập. Lỗ hổng này đã được khắc phục trong phiên bản v5.12.2: Hàm `pruneBackups()` không còn truyền `entry.path` từ manifest trên đĩa vào lệnh `rmSync`. Đường dẫn xóa được tính toán lại dựa trên trường `entry.backupId` đã được xác thực định dạng, và một kiểm tra chứa đựng của `dirname` giới hạn việc xóa chỉ trong đúng một cấp dưới thư mục backups. Một tệp manifest độc hại (ví dụ: `"path": "/"`) giờ đây trở nên vô hiệu hóa.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.