Agions taskflow-ai में os कमांड इंजेक्शन की भेद्यता src/mcp/server/handlers.ts में मौजूद है

Agions taskflow-ai के संस्करण 2.1.8 और उससे पहले में एक कमांड इंजेक्शन भेद्यता (vulnerability) पाई गई है। यह भेद्यता src/mcp/server/handlers.ts फ़ाइल में terminal_execute घटक में मौजूद है। एक हमलावर अज्ञात फ़ंक्शन के इनपुट में हेरफेर करके इस कमजोरी का फायदा उठा सकता है, जिससे वे अंतर्निहित सिस्टम पर मनमाना ऑपरेटिंग सिस्टम कमांड निष्पादित कर सकते हैं। इस भेद्यता की गंभीरता को CVSS 6.3 के रूप में रेट किया गया है, जो मध्यम जोखिम दर्शाता है। सफल शोषण से सिस्टम समझौता, डेटा चोरी या सेवा से इनकार हो सकता है। अपने सिस्टम को सुरक्षित रखने के लिए इस भेद्यता को संबोधित करना महत्वपूर्ण है।

Organizations deploying taskflow-ai in production environments, particularly those with internet-facing deployments, are at risk. Environments where user input is directly incorporated into system commands without proper sanitization are especially vulnerable. Shared hosting environments utilizing taskflow-ai should be prioritized for patching.

• nodejs: Monitor process execution for suspicious commands originating from the taskflow-ai process.

Get-Process taskflow-ai | Select-Object -ExpandProperty CommandLine | Select-String -Pattern "[a-zA-Z]:\"

• linux / server: Examine system logs for unusual command executions related to the taskflow-ai process.

journalctl -u taskflow-ai | grep -i 'command injection'

• generic web: Check access logs for requests containing suspicious characters or patterns that could be indicative of command injection attempts.

grep -i 'command injection' /var/log/apache2/access.log

1. 2026-04-08Disclosure

   disclosure

1. आरक्षित2026-04-08
2. प्रकाशित2026-04-08
3. संशोधित2026-04-10
4. EPSS अद्यतन2026-04-16

अनुशंसित समाधान taskflow-ai को संस्करण 2.1.9 या उससे ऊपर के संस्करण में अपग्रेड करना है। इस संस्करण में एक विशिष्ट फिक्स (commit c1550b445b9f24f38c4414e9a545f5f79f23a0fe) शामिल है जो ऑपरेटिंग सिस्टम कमांड इंजेक्शन भेद्यता को कम करता है। अपग्रेड करने से पहले, अपने कॉन्फ़िगरेशन और डेटा का बैकअप लेना उचित है। यदि तत्काल अपग्रेड संभव नहीं है, तो terminal_execute घटक तक पहुंच को प्रतिबंधित करने और संदिग्ध गतिविधि की निगरानी करने जैसे अतिरिक्त सुरक्षा उपाय लागू करने पर विचार करें। विक्रेता से संपर्क किया गया है और उन्होंने बहुत सक्रिय रूप से प्रतिक्रिया दी है।