Podatności Network-AI

Network-AI w wersjach od 5.14.0 przed 5.15.5 zawiera podatność braku uwierzytelniania w klasie A2AServer, która pozwala nieuwierzytelnionym atakującym na dostęp do operacji na zadaniach, gdy nie skonfigurowano sekretu. Atakujący mogą wysyłać żądania JSON-RPC do tasks/send, tasks/get i tasks/cancel bez tokenu Bearer, aby wykonywać zadania, odczytywać wyniki i anulować zadania.

Network-AI przed wersją 5.15.5 zawiera podatność path traversal w InputSanitizer.sanitizePath(), która pozwala atakującym na wyjście poza katalog bazowy przy użyciu ścieżek do katalogów siostrzanych. Atakujący mogą podać ścieżki, których nazwa katalogu dzieli prefiks z katalogiem bazowym, omijając niezabezpieczone sprawdzenie startsWith, aby czytać, listować lub zapisywać pliki poza piaskownicą.

Network-AI w wersjach od 5.13.4 przed 5.15.5 zawiera podatność path traversal w AgentVCR, która pozwala atakującym kontrolującym nazwę kasety na odczyt lub zapis dowolnych plików .json. Atakujący mogą przekazać sekwencje traversal do load() lub save(), aby ujawnić wrażliwe dane JSON lub nadpisać pliki polityk, takie jak konfiguracja poziomu zaufania AuthGuardian.

Network-AI w wersjach od 5.13.4 przed 5.15.5 zawiera podatność path traversal w FileJobStore, która pozwala atakującym na odczyt lub usunięcie dowolnych plików .json poprzez podanie sekwencji traversal w identyfikatorze zadania. Atakujący kontrolujący id przekazywane do FileJobStore.get(), FileJobStore.delete() lub JobQueue.getJob() może ujawnić dane uwierzytelniające i tokeny uprawnień lub usunąć pliki konfiguracyjne, osłabiając autoryzację AuthGuardian.

Podatność w bibliotece Network-AI (TypeScript/Node.js) przed wersją 5.9.1 umożliwia ominięcie listy dozwolonych poleceń powłoki. Atakujący może wykonać dowolne polecenia przez wstrzyknięcie znaków specjalnych (np. `;`).

W Network-AI (npm network-ai) przed wersją 5.15.2 wykryto błąd walidacji pochodzenia w McpSseServer._handleRequest w lib/mcp-transport-sse.ts, który odzwierciedla localhost Origins w nagłówku Access-Control-Allow-Origin niezależnie od interfejsu wiązania. Gdy serwer wiąże adres niepętlowy, strona atakującego z Origin localhost odwiedzona przez ofiarę może odczytać nieuwierzytelnione endpointy, takie jak /health, w trybie cross-origin.

Network-AI od wersji 5.14.0 przed 5.15.2 zawiera podatność obejścia kontroli bezpieczeństwa w hooku ClaudeHookBridge PreToolUse, który dopasowuje wzorce deny tylko do pierwszego obecnego pola kandydata. Agent z prompt injection może umieścić niebezpieczne ładunki w polach takich jak Write content lub parametr skryptu MCP obok nieszkodliwego file_path lub command, omijając denyPatterns w celu zapisania web shelli lub wykonania skryptów.

Network-AI w wersjach od 5.0.0 do 5.15.2 zawiera lukę cross-site WebSocket hijacking w DashboardServer, która pozwala zdalnym atakującym odczytać topologię agentów na żywo, ponieważ handleUpgrade nie wykonuje walidacji Origin ani tokenu. Atakujący mogą zwabić ofiarę uruchamiającą dashboard na złośliwą stronę, która otwiera WebSocket do lokalnego dashboardu i eksfiltruje identyfikatory agentów, role, opisy zadań i budżety tokenów.

Network-AI przed wersją 5.15.1 zawiera podatność polegającą na obejściu matchera zabezpieczeń, gdzie SandboxPolicy ocenia surowe ciągi poleceń z zachowanymi cudzysłowami, podczas gdy executor tokenizuje polecenia, usuwając cudzysłowy przed wykonaniem. Atakujący mogą tworzyć polecenia z cudzysłowami, które omijają listy blokad i bramki zatwierdzania, podczas gdy executor wykonuje identyczne niecytowane niebezpieczne argv.

Network-AI ClaudeHookBridge przed wersją 5.15.1 obcina ciąg docelowy do 500 znaków przed oceną denyPatterns, podczas gdy Claude Code wykonuje pełne, nieobcięte polecenie. Atakujący mogą umieścić niebezpieczną treść poza 500 bajtem w polu polecenia Bash, aby ominąć twardą listę blokad operatora i wykonać dowolne polecenia.

W Network-AI (TypeScript/Node.js multi-agent orchestrator) przed wersją 5.12.2 wykryto podatność polegającą na zaufaniu polu 'path' w pliku manifestu kopii zapasowej. Atakujący może umieścić złośliwy manifest, powodując usunięcie dowolnego pliku lub katalogu podczas operacji przycinania kopii zapasowych.

Podatność w Network-AI (wersje 5.0.0-5.12.1) w komponencie ApprovalInbox. Serwer HTTP nie wymaga uwierzytelnienia i ustawia nagłówek Access-Control-Allow-Origin: *, co pozwala każdemu, kto może wysłać żądanie HTTP (w tym strony internetowe w przeglądarce operatora), na zatwierdzanie oczekujących akcji wysokiego ryzyka bez zgody człowieka.

Podatność w Network-AI (wersje przed 5.12.2) w mechanizmie piaskownicy plików. Sprawdzanie ścieżek opiera się na prefiksie tekstowym, co pozwala agentowi na odczyt plików z katalogów o podobnej nazwie (np. /tmp/network-ai-sandbox_evil) poza zamierzonym katalogiem piaskownicy.

Podatność w Network-AI (wersje przed 5.12.2) w funkcji backupu środowiska. Funkcja _collectBackupFiles() podąża za dowiązaniami symbolicznymi, co pozwala atakującemu na umieszczenie dowiązania do katalogu zewnętrznego i skopiowanie jego zawartości do archiwum kopii zapasowej.

Podatność w Network-AI (wersje przed 5.12.2) w funkcji przywracania środowiska. Funkcja restore() nie sprawdza, czy ścieżka kopii zapasowej znajduje się w dozwolonym katalogu, co pozwala na podanie identyfikatora z sekwencją ../ i przywrócenie plików z dowolnego katalogu.

Network-AI przed wersją 5.4.5 ma domyślnie pusty sekret MCP SSE, co powoduje, że każdy nieuwierzytelniony żądanie jest akceptowane. Dodatkowo nagłówek CORS zezwala na dostęp z dowolnego źródła, co umożliwia atakującemu zdalne wywołanie wszystkich 22 narzędzi MCP na lokalnym serwerze.

Network-AI przed wersją 5.13.4 zawiera podatność na nieprawidłową weryfikację podpisu kryptograficznego w APSAdapter. Domyślny lokalny weryfikator akceptuje dowolny niepusty ciąg znaków jako prawidłowy. Nieuwierzytelniony atakujący może przesłać sfałszowane ładunki delegacji APS z dowolnymi zakresami, aby ominąć weryfikację podpisu i uzyskać tokeny uprawnień do wrażliwych zasobów, w tym SHELL_EXEC.

Network-AI (npm: network-ai) w wersjach 5.12.2 do 5.13.3 nie stosuje skonfigurowanej autoryzacji do tras GET /approvals/, co pozwala nieuwierzytelnionym aktorom na dostęp do wrażliwych danych zatwierdzeń, w tym komend powłoki, ścieżek plików i poziomów ryzyka. Dodatkowo nagłówek Access-Control-Allow-Origin: * umożliwia wyciek danych z dowolnej strony.