- Yama var
- Son 7 gün
- CWE-22
CVE-2026-114106
HKUDS Vibe-Trading'de read_document ve safe_user_path üzerinden dizin geçişi açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
HKUDS Vibe-Trading 0.1.0 ile 0.1.7 öncesi sürümlerde, uzak saldırganların LLM ajanının dosya okuma araçları aracılığıyla sunucudaki hassas dosyaları okumasına izin veren bir dizin geçişi (path traversal) açığı bulunmaktadır. Saldırganlar ajana istem göndererek, sandbox denetimleri içermeyen read_document aracını ya da safe_user_path ile korunan araçları çağırtabilir ve /etc/shadow, /proc/self/environ içindeki API anahtarları ile /root dizinindeki kimlik bilgilerini sızdırabilir.
Kaynaktaki açıklama (İngilizce)
HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a path traversal vulnerability that allows remote attackers to read sensitive server files through LLM agent file-read tools. Attackers can prompt the agent to invoke read_document, which lacks sandbox checks, or safe_user_path-gated tools to leak /etc/shadow, /proc/self/environ API keys, and /root credentials.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| HKUDS Vibe-Trading | ≥ 0.1.0, < 0.1.7 | 0.1.7 |
| 0.1.7 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.