CVE-2026-58499

Nome do Software Vulnerável e Versões Afetadas EverOS versões anteriores a 1.0.1

Description O EverOS contém uma falha de path traversal no endpoint '/api/v1/memory/add'. O problema ocorre porque o campo sender id não é validado como um identificador seguro para caminhos. Durante a extração de memória do usuário, o sender id é utilizado como owner id e incorporado ao caminho do sistema de arquivos onde os episódios são salvos como arquivos Markdown. Um chamador não autenticado pode usar sequências ../ no sender id para direcionar gravações para fora da raiz de memória configurada, permitindo a criação ou a substituição de arquivos .md em locais graváveis pelo processo do servidor com conteúdo parcialmente influenciado pelo atacante.

Recommendations Atualize o EverOS para a versão 1.0.1. Evite usar o parâmetro sender id no endpoint '/api/v1/memory/add' até que a atualização seja aplicada.