chaitanyagarware/cve-2026-54520Page d'avis public documentant CVE-2026-54520, une vulnérabilité de traversée de chemin de haute sévérité dans l'exécuteur de flux de travail d'ai-agent-automation, avec des liens vers GHSA et des détails de version affectée.
ai-agent-automation workflow file step path traversal allowed read/write outside the expected directory.
Avis principal : GHSA-cm8g-8jfq-887p
Crédit du chercheur : @chaitanyagarware
| Champ | Valeur |
|---|
| CVE | CVE-2026-54520 |
| GHSA | GHSA-cm8g-8jfq-887p |
| Projet | vmDeshpande/ai-agent-automation |
| Paquet | backend |
| Écosystème | npm |
| Sévérité | Élevée |
| CVSS | 8.1, CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Faiblesse | CWE-22 |
| Publié | Avis du dépôt GitHub : 2026-06-05 |
| Version corrigée | v0.9.1 |
| État des bases de données publiques | Avis du dépôt GitHub publié ; CVE.org, NVD et OSV n'ont retourné aucun enregistrement au 2026-07-09 |
Le step.path accepté par l'étape du fichier workflow était contrôlé par l'utilisateur et résolu par rapport à process.cwd() avant la lecture ou l'écriture de fichiers. Comme le backend n'imposait pas que le chemin final résolu reste dans un répertoire de workflow sécurisé, des séquences de traversée pouvaient s'échapper de la limite attendue du système de fichiers.
Le composant affecté était backend/src/agents/executor.js.
| Paquet | Affecté |
|---|---|
backend | <= 0.8.0 |
| Paquet | Corrigé |
|---|---|
backend | v0.9.1 |
| Source | Statut | Lien |
|---|---|---|
| Avis du dépôt GitHub | Publié | GHSA-cm8g-8jfq-887p |
| CVE.org | Pas encore indexé | Détail CVE |
| NVD | Pas encore indexé | Détail NVD |
| OSV | Pas encore indexé | Recherche OSV |
chaitanyagarware/chaitanyagarware référence ce CVE/GHSA.chaitanyagarware/chaitanyagarware.github.io référence ce CVE/GHSA.Ce dépôt est un index public et une page de portfolio. Il résume intentionnellement la vulnérabilité et fait référence aux enregistrements faisant autorité au lieu de copier des scripts d'exploit complets.