Pad Traverseren in transformeroptimus/superagi

De Path Traversal kwetsbaarheid in SuperAGI stelt aanvallers in staat om bestanden buiten de toegestane upload directory te plaatsen. Dit betekent dat een kwaadwillende gebruiker potentieel elk bestand op de server kan overschrijven of uploaden, inclusief configuratiebestanden, systeemscripts of zelfs malware. Afhankelijk van de permissies van de gebruiker die de applicatie draait, kan dit leiden tot volledige controle over de server en de daaraan gekoppelde data. Een succesvolle exploitatie kan resulteren in dataverlies, compromittering van gevoelige informatie en het verkrijgen van een foothold voor verdere aanvallen.

Organizations deploying SuperAGI, particularly those using the 0.0.14 version or earlier, are at risk. Shared hosting environments where SuperAGI is deployed alongside other applications are particularly vulnerable, as a successful exploit could potentially compromise other tenants on the same server. Users who have not implemented robust file upload validation and access controls are also at increased risk.

• python / server:

import os
import glob

# Check for unusual files in the upload directory
upload_dir = '/path/to/superagi/uploads/'
for file in glob.glob(upload_dir + '*'):
    if '..' in file or '../' in file:
        print(f'Potential Path Traversal: {file}')

• linux / server:

# Check for files outside the intended upload directory
find /path/to/superagi/uploads/ -type f -not -path '/path/to/superagi/uploads/*'

• generic web:

curl -I 'http://your-superagi-server/uploads/../../../../etc/passwd' # Check for directory traversal attempts

1. 2025-03-20Disclosure

   disclosure

1. Gereserveerd2024-10-01
2. Gepubliceerd2025-03-20
3. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-9415 is het updaten van SuperAGI naar een versie waarin deze kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van restricties op de upload directory en het valideren van de bestandsnamen die door gebruikers worden ingevoerd. Het gebruik van een Web Application Firewall (WAF) met regels die path traversal pogingen detecteren en blokkeren kan ook helpen. Controleer de configuratie van de applicatie om te verzekeren dat de upload directory niet toegankelijk is voor onbevoegden.