- Yama var
- Son 7 gün
- CWE-22
CVE-2026-105772
Google ADK TypeScript FileArtifactService'te yol geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
Yönetici özeti
Bu açık, uygulamanın dosya depolama ayarı etkinleştirilmiş ve dışarıya açık olan sistemlerde sunucudaki dosyaların okunmasına ve değiştirilmesine izin verebilir. Kimlik doğrulaması gerektirmediği ve risk derecesi kritik olduğu için öncelikli olarak ele alınmalıdır.
ÖzetTürkçe
Google ADK TypeScript (@google/adk) kütüphanesinin 0.4.0 ile 0.6.0 öncesi sürümlerinde, FileArtifactService içindeki userId ve sessionId parametreleri yeterince doğrulanmadığı için yol geçişi (CWE-22) açığı bulunmaktadır. Kimlik doğrulaması olmayan uzak bir saldırgan, ../ veya yüzdeyle kodlanmış ..%2F gibi hazırlanmış dizinler kullanarak yapılandırılmış artifact depolama kökünün dışındaki dosyaları okuyabilir veya yazabilir. Açık yalnızca ADK API sunucusu dışarıya açıkken ve varsayılan olmayan FileArtifactService etkinleştirilmişken geçerlidir; varsayılan InMemoryArtifactService kullanan uygulamalar etkilenmez.
Saldırgan ne yapabilir?
Saldırgan, sunucudaki hassas dosyaları okuyabilir ve bir agent aracı saveArtifact işlevini çağırdığında sistem üzerinde beklenmeyen dosyalar oluşturup değiştirebilir.
Kaynaktaki açıklama (İngilizce)
Path Traversal (CWE-22) in FileArtifactService in Google ADK TypeScript (@google/adk) versions 0.4.0 before 0.6.0 allows a remote unauthenticated attacker to read files matching the artifact directory layout or write files (when an agent tool invokes saveArtifact) outside the intended artifact storage root via crafted relative or percent-encoded path traversal sequences (such as ../ or ..%2F) in the userId or sessionId parameters when the ADK API server is exposed with the non-default FileArtifactService enabled. Applications using the default InMemoryArtifactService are unaffected. Upgrade to @google/adk version 0.6.0 or later.
Ne yapmalı?
- @google/adk paketini 0.6.0 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme sonrasında uygulamanın çalışan sürümünü doğrulayın ve servisi yeniden başlatın. Genel öneri
- Yükseltme yapılamıyorsa, ADK API sunucusunu geçici olarak internetten erişilemez hale getirin veya FileArtifactService kullanımını devre dışı bırakıp InMemoryArtifactService'e geçin. Genel öneri
Ek önlemler
- Artifact depolama dizininin dışındaki dosyalara erişimi kısıtlamak için sunucu sürecini en az yetkiyle ve ayrıcalıksız bir kullanıcı altında çalıştırın. Genel öneri
- Web sunucusu ve uygulama günlüklerinde ../ veya %2F içeren userId ve sessionId isteklerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ADK TypeScript (@google/adk) | ≥ 0.4.0, < 0.6.0 | 0.6.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.