CVE-2026-62675

Nome do Software Vulnerável e Versões Afetadas Omnigent versões anteriores a 0.3.0

Description Omnigent é um framework de agente de IA de código aberto e meta-harness para orquestração de agentes de codificação. O endpoint multipart POST '/v1/sessions' aceita o pacote de agente de um usuário autenticado, mas a função validate agent bundle em omnigent/server/bundles.py não rejeita um caminho Python pontilhado no parâmetro tools..callable. Consequentemente, a função resolve spec callable em omnigent/runner/tool dispatch.py importa o módulo especificado, e a função execute spec callable tool invoca a função resolvida. Isso permite que um pacote selecione subprocess.check output e execute comandos locais com as permissões do processo do executor, podendo expor arquivos do executor, variáveis de ambiente, credenciais, dados de espaço de trabalho, serviços internos e disponibilidade sem acesso de administrador.

Recommendations Atualizar para a versão 0.3.0.