Lucasfutures

Ocorre uma verificação inadequada de assinaturas criptográficas no plugin `saml-auth` sob a configuração padrão. Isso permite que um invasor não autenticado se passe por qualquer usuário em todas as rotas protegidas por este plugin.

O `BetaLocalFilesystemMemoryTool` cria arquivos e diretórios de memória usando os modos padrão do Node.js (0o666 para arquivos e 0o777 para diretórios). Isso faz com que os arquivos fiquem legíveis por qualquer usuário em sistemas com umask padrão e graváveis por qualquer usuário em ambientes com umasks permissivas, como algumas imagens base do Docker. Um invasor local em um host compartilhado poderia ler o estado persistido do agente ou, em implantações conteinerizadas, modificar arquivos de memória para influenciar o comportamento subsequente do modelo.

Name of the Vulnerable Software and Affected Versions Claude SDK for Python versões 0.86.0 através de 0.86.9 Description O Claude SDK for Python, usado para acessar a API Claude, apresentava um problema na ferramenta de memória do sistema de arquivos local entre as versões 0.86.0 e anterior à 0.87.0. Os arquivos de memória eram criados com permissões que permitiam acesso de leitura global em sistemas com um umask padrão e acesso de gravação global em ambientes com um umask permissivo, como muitas imagens base do Docker. Um invasor local em um host compartilhado poderia potencialmente ler o estado persistente do agente. Em implantações conteinerizadas, um invasor poderia modificar arquivos de memória, influenciando potencialmente o comportamento subsequente do modelo. Tanto as implementações de ferramentas de memória síncronas quanto assíncronas foram afetadas. Recommendations Atualize para a versão 0.87.0 ou posterior.