Eric-X

**Nome do Software Vulnerável e Versões Afetadas** nextlevelbuilder GoClaw versões anteriores a 3.13.3-beta.4 **Description** Uma falha na função `ExecTool.Execute()` dentro do arquivo `goclaw/internal/tools/credentialed exec.go` permite a autorização inadequada. Este problema pode ser explorado remotamente para alcançar a execução remota de código, que é a capacidade de um invasor executar comandos arbitrários em uma máquina alvo através de uma rede. **Recommendations** Atualize o nextlevelbuilder GoClaw para a versão 3.13.3-beta.4 ou posterior. Como medida paliativa temporária, restrinja o acesso à função `ExecTool.Execute()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** rt-claw versões anteriores a 0.2.1 **Description** Um problema de divulgação de informações existe no componente `http request`. Um invasor remoto pode manipular as funções `claw net get()` e `claw net post()` dentro do arquivo `claw/services/tools/net.c` para expor informações sensíveis. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o uso das funções `claw net get()` e `claw net post()`.

**Nome do Software Vulnerável e Versões Afetadas** zevorn rt-claw versões anteriores a 0.2.1 **Description** Um problema no componente RPC Handler permite a autorização incorreta. Isso ocorre na função `claw tool invoke()` localizada no arquivo `claw/services/swarm/swarm.c`, a qual pode ser explorada remotamente. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso à função `claw tool invoke()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** princezuda SafestClaw versões anteriores a 4.2.5 **Description** Um problema existe na Interface Web Integrada dentro da função `ShellAction. validate command()` localizada no arquivo `src/safestclaw/actions/shell.py`. Esta falha resulta em uma blacklist incompleta, que poderia ser explorada por um atacante local. **Recommendations** Atualize o princezuda SafestClaw para a versão 4.2.5 ou posterior. Como mitigação temporária, restrinja o acesso local à Interface Web Integrada ou evite usar a função `ShellAction. validate command()`.

**Nome do Software Vulnerável e Versões Afetadas** nearai ironclaw versões anteriores a 0.29.2 **Description** Uma falha existe no componente `write file` dentro da função `validate path()` localizada no arquivo `src/tools/builtin/path utils.rs`. Este problema permite o seguimento de links (link following), que ocorre quando um programa segue um link simbólico para um local fora do diretório pretendido. O acesso local é necessário para executar este ataque. **Recommendations** Aplique o patch 369ff3d240cf3c0787b50e1e9f182e1a06c71255 para resolver o problema. Como mitigação temporária, restrinja o acesso à função `validate path()`.

**Nome do Software Vulnerável e Versões Afetadas** zhayujie CowAgent versões anteriores a 2.1.2 **Description** Um problema existe na função `WebFetch.execute()` dentro do arquivo `agent/tools/web fetch/web fetch.py`. Um invasor remoto pode manipular o argumento `url` para realizar server-side request forgery (SSRF), uma técnica onde o servidor é coagido a fazer requisições não autorizadas a recursos internos ou externos. **Recommendations** Atualizar para a versão 2.1.2.

**Nome do Software Vulnerável e Versões Afetadas** zhayujie CowAgent versões anteriores a 2.1.1 **Description** Um problema no componente Browser Tool permite a divulgação remota de informações. A falha reside na função `BrowserTool. do navigate()` localizada no arquivo `agent/tools/browser/browser tool.py`. **Recommendations** Como medida paliativa temporária, restrinja o uso da função `BrowserTool. do navigate()` até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** zhayujie CowAgent versões anteriores a 2.1.2 **Description** Um problema existe no componente Vision Tool dentro das funções ` build image content()` e ` download to data url()` do arquivo `agent/tools/vision/vision.py`. O software busca um argumento `image` fornecido pelo usuário sem restringir o destino, permitindo que um invasor remoto manipule esse valor para induzir o servidor a fazer requisições para alvos internos arbitrários, como serviços internos e endpoints de metadados de nuvem. Esta condição leva ao server-side request forgery (SSRF), que é uma técnica usada para fazer com que um servidor realize requisições a um destino para o qual não foi destinado. **Recommendations** Atualizar para a versão 2.1.2.

**Nome do Software Vulnerável e Versões Afetadas** zhayujie CowAgent versões anteriores a 2.1.2 **Description** No componente Skill Installation Handler, as funções ` add url()` e ` add package()` no arquivo `agent/skills/service.py` são suscetíveis a path traversal. Isso ocorre quando o argumento `Name` é manipulado, permitindo que um invasor remoto acesse ou sobrescreva arquivos fora do diretório pretendido. **Recommendations** Atualizar para a versão 2.1.2.

**Nome do Software Vulnerável e Versões Afetadas** zhayujie CowAgent versões anteriores a 2.1.1 **Description** Uma falha de segurança no componente Message Endpoint, especificamente em uma função desconhecida do arquivo `channel/channel.py`, permite a ausência de autorização. Este problema permite que um invasor remoto execute ações não autorizadas. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** OpenBMB XAgent version 1.0.0 **Description** A flaw exists in OpenBMB XAgent that allows for path traversal. The issue is located within the `workspace` function of the `XAgentServer/application/routers/workspace.py` file. Manipulation of the `file name` argument can lead to unauthorized access. This issue can be exploited remotely, and a public exploit is available. The project was notified of the issue but has not yet responded. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** eosphoros-ai db-gpt version 0.7.5 **Description** A security flaw exists in eosphoros-ai db-gpt version 0.7.5 related to code injection. The issue is located in the function `importlib.machinery.SourceFileLoader.exec module` within the file `/api/v1/serve/awel/flow/import` of the Flow Import Endpoint component. Manipulation of a file as part of the process can lead to code injection. The attack can be initiated remotely. The exploit has been publicly released. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.