- Son 7 gün
- CWE-470
CVE-2026-92206
CrewAI Framework'te Agent Yükleme Sırasında Güvensiz Yansıma Nedeniyle Uzaktan Kod Çalıştırma Açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- zdi
ÖzetTürkçe
Bu açık, saldırganların CrewAI crewAI üzerinde kurulu sistemlerde keyfi kod çalıştırmasına olanak tanır. Saldırının gerçekleşmesi için hedef sistemin depodan kötü amaçlı bir agent yapılandırmasını yüklemesi gerekir, yani kullanıcı etkileşimi gereklidir. Sorun, load_agent_from_repository fonksiyonunda bulunmaktadır. İşlem, bir modülü içe aktarmadan önce kullanıcı tarafından sağlanan bir argümanı yeterince kısıtlamamaktadır. Saldırgan bu açığı kullanarak kodu servis hesabının bağlamında çalıştırabilir. (ZDI-CAN-28387)
Kaynaktaki açıklama (İngilizce)
CrewAI crewAI Framework Agent Loading Unsafe Reflection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of CrewAI crewAI. User interaction is required to exploit this vulnerability in that the target must load a malicious agent configuration from the repository.
The specific flaw exists within the load_agent_from_repository function. The process does not properly restrict a user-supplied argument before using it to import a module. An attacker can leverage this vulnerability to execute code in the context of the service account. Was ZDI-CAN-28387.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| CrewAI | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.