CVE-2026-62663

Nome do Software Vulnerável e Versões Afetadas Banks versões anteriores a 2.4.4

Description O Banks utiliza uma linguagem de template para gerar prompts de LLM. Os filtros de mídia para imagem, áudio, vídeo e documento aceitam entradas de usuário não confiáveis como caminhos de arquivo via Path(value) e as passam para a função open(file path, "rb") sem sanitização, canonicalização ou restrição de diretório. Um invasor que controle as variáveis de template pode usar path traversal (../) para ler arquivos arbitrários acessíveis ao processo Python, como arquivos .env, chaves SSH, credenciais de nuvem, código-fonte, /etc/passwd e /etc/shadow. O conteúdo é retornado codificado em base64 na saída do prompt renderizado.

Recommendations Atualizar para a versão 2.4.4.