Agent Zero before version 1.15 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files by supplying crafted paths to the image file serving endpoint, which relies solely on an extension allowlist while the path containment check is explicitly disabled. Attackers can request any file with an image extension readable by the process, including files outside the agent workspace, user home directories, and mounted volumes, and can also leverage symlink-based escapes due to the lack of path canonicalization in the path resolution logic.
Agent Zero before version 1.15 contains a path traversal vulnerability allowing unauthenticated attackers to read arbitrary files through crafted paths to the image serving endpoint. The vulnerability exploits a disabled path containment check and lack of path canonicalization, enabling access to sensitive files outside the intended workspace.
ثغرة اجتياز المسار في Agent Zero تسمح للمهاجمين غير المصرح لهم بقراءة ملفات عشوائية من خلال توفير مسارات مصنوعة إلى نقطة نهاية خدمة الصور. تعتمد الثغرة على قائمة امتدادات بيضاء فقط مع تعطيل فحص احتواء المسار بشكل صريح، مما يسمح بالوصول إلى الملفات الحساسة في المجلدات المنزلية والأقراص المرفوعة.
إصدارات Agent Zero السابقة للإصدار 1.15 تحتوي على ثغرة اجتياز المسار التي تسمح للمهاجمين غير المصرح لهم بقراءة ملفات عشوائية. تستغل الثغرة فحص احتواء المسار المعطل والافتقار إلى تطبيع المسار، مما يتيح الوصول إلى الملفات الحساسة خارج مساحة العمل المقصودة.
Immediately upgrade Agent Zero to version 1.15 or later. Implement strict input validation and path canonicalization for all file serving endpoints. Enable path containment checks and restrict file access to designated directories only. Apply principle of least privilege to process permissions and monitor file access logs for suspicious activity.
قم بترقية Agent Zero فوراً إلى الإصدار 1.15 أو أحدث. طبق التحقق الصارم من المدخلات وتطبيع المسار لجميع نقاط خدمة الملفات. فعّل فحوصات احتواء المسار وقيّد الوصول إلى الملفات بالمجلدات المخصصة فقط. طبق مبدأ أقل صلاحية على أذونات العملية ومراقبة سجلات الوصول للملفات للنشاط المريب.