CVE-2026-88062
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
OmniRoute to brama AI typu open source zapewniająca pojedynczy punkt końcowy dla wielu dostawców modeli. W wersji 3.8.49 i wcześniejszych niestandardowy punkt końcowy agenta ACP OmniRoute POST /api/acp/agents akceptował kontrolowane przez osobę atakującą wartości binarne i VersionCommand i używał jedynie kontroli własnej spójności, zanim execFileSync wykonał wybrany interpreter i argumenty. To samo żądanie o nazwie odświeżanieAgentCache i rozwiązanieVersionProbe zaakceptowało dopasowane polecenie przed uruchomieniem go przez ujście execFileSync. Funkcja tokenizeVersionCommand i filtr DISALLOWED_VERSION_COMMAND_CHARS odrzuciły ograniczony zestaw metaznaków powłoki, ale nadal dopuszczały argumenty oceny interpretera. Funkcja isAuthenticated opierała się na isAuthRequired, która akceptowała anonimowe żądania, gdy requireLogin miało wartość false, podczas gdy api/acp/ było nieobecne w LOCAL_ONLY_API_PREFIXES i SPAWN_CAPABLE_PREFIXES. Z requireLogin=false lub podczas okna ładowania świeżej instancji zdalne anonimowe żądanie może dostarczyć argument oceny interpretera i wykonać dowolny kod w kontenerze serwera. W przypadku requireLogin=true i skonfigurowanego hasła zarządzania wykorzystanie zamiast tego wymagało sesji zarządzania lub klucza API o zakresie zarządzania. W chwili tej recenzji nie jest dostępna żadna naprawiona wersja.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org