CVE-2026-14628
NousResearch hermes-agent Live Webhook Endpoint base.py extract_media path traversal
- تم النشر
- 04/07/2026
- محدث
- 06/07/2026
- تخصيص CNA
- VulDB
- الأدلة المرصودة
- 17/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 54.6%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تم اكتشاف ثغرة أمنية في NousResearch hermes-agent حتى الإصدار 2026.5.16. تؤثر هذه الثغرة على الدالة extract_media في الملف gateway/platforms/base.py من مكوّن Live Webhook Endpoint. يؤدي إجراء معالجة إلى اجتياز المسار (path traversal). يمكن بدء الهجوم عن بُعد. الاستغلال أصبح الآن علنيًا ويمكن استخدامه. تم التواصل مع البائع مبكرًا بشأن هذا الإفصاح لكنه لم يستجب بأي شكل.
المصادر
إعادة إنتاج تعليمية لثغرة اجتياز المسار CVE-2026-14628 مع أمثلة برمجية قابلة للاستغلال وآمنة، وشرح للإصلاح، وعروض توضيحية قابلة للتشغيل لدراسة CWE-22.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.