Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-23

CVE-2026-120312

Network-AI'de AgentVCR kaset adında yol geçişi (path traversal) açığı

Jovancoding Network-AI

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, yapay zekâ ajanlarının erişim kurallarını ve hassas verilerini etkileyebilecek bir güvenlik boşluğudur. Saldırgan, sistemdeki önemli yapılandırma dosyalarını okuyabilir veya değiştirebilir. Ürünün güncellenmesi, iş verilerinin ve erişim kontrollerinin korunması için acil bir öncelik taşır.

ÖzetTürkçe

Network-AI'nin 5.13.4 sürümünden 5.15.5 sürümünden önceki sürümlerinde, AgentVCR bileşeni kaset (cassette) adını yeterince doğrulamıyor. Kaset adını kontrol edebilen bir saldırgan, dizin geçiş dizileri kullanarak keyfi .json dosyalarını okuyabilir veya yazabilir. Etkilenen sistemler, bu ürünü kullanan tüm kurulumlardır.

Saldırgan ne yapabilir?

Saldırgan hassas JSON verilerini okuyabilir veya AuthGuardian güven seviyesi yapılandırması gibi politika dosyalarının üzerine yazarak kimlik doğrulama ve yetkilendirme kurallarını değiştirebilir.

Kaynaktaki açıklama (İngilizce)

Network-AI from 5.13.4 before 5.15.5 contains a path traversal vulnerability in AgentVCR that allows attackers controlling the cassette name to read or write arbitrary .json files. Attackers can pass traversal sequences to load() or save() to disclose sensitive JSON data or overwrite policy files such as AuthGuardian trust-level configuration.

Ne yapmalı?

  1. Network-AI ürününü 5.15.5 veya sonraki düzeltilmiş sürüme yükseltin. Üretici
  2. Yükseltmeden önce, kaset adlarını dış kaynaklardan gelen girdilerden almadığınızdan emin olun ve AgentVCR load ve save çağrılarını kontrol edin. Genel öneri
  3. Güven seviyesi ve politika dosyalarının yetkisiz değişikliğe karşı yedeklerini alın ve dosya izinlerini kısıtlayın. Genel öneri

Ek önlemler

  • AgentVCR kayıt ve kaset dosyalarına yapılan okuma ve yazma işlemlerini izleyin ve beklenmedik dosya yollarını tespit edin. Genel öneri
  • Ajan sürecini en az yetki ilkesiyle çalıştırın ve yalnızca gerekli dizinlere erişim verin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Jovancoding Network-AI ≥ 5.13.4, < 5.15.5 5.15.5
5.15.5 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.