CVE-2026-54520

概要

AI Agent Automationは、スケジューラ、ツール、オブザーバビリティを備えたモジュラー型AIエージェントワークフロー自動化プラットフォームです。0.9.1より前のバージョンでは、backend/src/agents/executor.jsのexecuteStepファイルステップ実装が、ユーザー制御のstep.path値をprocess.cwd()と共にpath.resolveに渡し、その結果得られたパスを、承認されたワークフローディレクトリ内に留まっているか確認せずに読み取りまたは書き込み操作に使用していました。ワークフローのファイルステップを作成または変更できる認証済みユーザーは、トラバーサルセグメントを指定して意図されたワークスペースを脱出し、機密ファイルを読み取ったり、バックエンドプロセスがアクセス可能なファイル（プロセスの権限が許す場合はアプリケーション隣接ファイルを含む）を書き込み・上書きしたりすることが可能でした。この問題はバージョン0.9.1で修正されています。

• CVE-2026-54520情報

  # CVE-2026-54520 公開アドバイザリ ai-agent-automation のワークフロー実行基盤における高深刻度のパストラバーサル（パス横断）脆弱性を文書化した公開アドバイザリのランディングページです。GHSA および影響を受けるバージョンの詳細へのリンクを含みます。