CVE-2026-15746

Nome do Software Vulnerável e Versões Afetadas strands-agents-tools versões anteriores a 0.7.0

Description Um problema de server-side request forgery (SSRF) existe na ferramenta elasticsearch memory do pacote strands-agents-tools. A ferramenta expõe os parâmetros de conexão es url, cloud id e api key como campos controláveis pelo modelo de linguagem de grande escala (LLM) através do esquema da ferramenta. Se o parâmetro api key for omitido, a ferramenta utiliza a variável de ambiente ELASTICSEARCH API KEY do operador e a envia para o host especificado pelo LLM. Um prompt manipulado pode forçar a ferramenta a se conectar a um servidor externo, revelando a chave de API do Elasticsearch do operador no cabeçalho de Autorização.

Recommendations Atualize para a versão 0.7.0 ou posterior. Rotacione a ELASTICSEARCH API KEY como medida de precaução.