CVE-2026-42075
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Evolver to silnik AI, który przed wersją 1.69.3 miał podatność na traversję ścieżek w komendzie pobierania umiejętności. Atakujący mogli zapisywać pliki w dowolnych lokalizacjach na systemie plików, co stwarzało ryzyko nadpisania krytycznych plików systemowych.
Ocena ryzyka
Podatność ta może prowadzić do poważnych naruszeń bezpieczeństwa, w tym do nadpisania ważnych plików systemowych lub umieszczenia złośliwego oprogramowania w wrażliwych lokalizacjach.
Rekomendacja
Zaleca się aktualizację do wersji 1.69.3 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów walidacji ścieżek w aplikacji.
Inne podatności w Evolver
Zobacz wszystkie- CVE-2026-42076Krytyczne
Evolver to silnik AI z funkcją samodzielnego rozwoju, który przed wersją 1.69.3 miał podatność na wstrzykiwanie poleceń w funkcji _extractLLM(). Umożliwia to atakującym wykonywanie dowolnych poleceń powłoki na serwerze poprzez nieprawidłowe przetwarzanie parametrów.
- CVE-2026-42077Średnie
W Evolver przed wersją 1.69.3 występuje podatność prototype pollution w module przechowywania skrzynki pocztowej. Funkcje _applyUpdate() i _updateRecord() używają Object.assign() do łączenia danych kontrolowanych przez użytkownika bez filtrowania niebezpiecznych kluczy, takich jak __proto__, constructor czy prototype.
Oryginalny opis (angielski, źródło NVD)
Evolver is a GEP-powered self-evolving engine for AI agents. Prior to version 1.69.3, a path traversal vulnerability in the skill download (fetch) command allows attackers to write files to arbitrary locations on the filesystem. The --out= flag accepts user-provided paths without validation, enabling directory traversal attacks that can overwrite critical system files or create files in sensitive location. This issue has been patched in version 1.69.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS