griptape-ai griptape ComputerTool tool.py padtraversering

Een padtraverseringskwetsbaarheid (path traversal) is ontdekt in griptape-ai griptape versie 0.19.4. Deze fout beïnvloedt een onbekend deel van het bestand griptape\tools\computer\tool.py binnen de component ComputerTool. Een aanvaller kan het argument filename manipuleren om toegang te krijgen tot bestanden en mappen buiten de bedoelde map, waardoor de systeemintegriteit mogelijk wordt gecompromitteerd. De ernst van de kwetsbaarheid wordt beoordeeld als CVSS 6.3, wat een matig risico aangeeft. Remote exploitatie is mogelijk, waardoor het aanvalsoppervlak wordt vergroot. De publicatie van een exploit signaleert dat de kwetsbaarheid gemakkelijk te exploiteren is. Het gebrek aan reactie van de leverancier op vroege meldingen is zorgwekkend.

Organizations deploying griptape-ai in production environments, particularly those relying on the ComputerTool component for file processing, are at risk. Systems with weak input validation or inadequate access controls are especially vulnerable. Shared hosting environments where multiple users share the same griptape-ai instance should be considered high-priority targets.

• python / server:

import os
import sys

def check_filename(filename):
    # Basic check - prevent '..' sequences
    if '..' in filename:
        return False
    return True

# Example usage (replace with actual input source)
filename = sys.argv[1]
if not check_filename(filename):
    print("Invalid filename detected")

• linux / server:

# Monitor access logs for suspicious file access attempts
grep -i "../" /var/log/griptape-ai/access.log

1. 2026-04-05Disclosure

   disclosure

1. Gereserveerd2026-04-05
2. Gepubliceerd2026-04-05
3. Gewijzigd2026-04-06
4. EPSS bijgewerkt2026-04-13

Gezien het ontbreken van een fix van de leverancier, richten de mitigerende maatregelen zich op preventieve maatregelen. Het wordt ten zeerste aanbevolen om het gebruik van griptape versie 0.19.4 te vermijden. Als griptape moet worden gebruikt, overweeg dan om te upgraden naar een latere versie (indien beschikbaar) of strenge toegangscontroles te implementeren om de toegang tot gevoelige bestanden te beperken. Strenge validatie van gebruikersinvoer, met name het argument filename, is cruciaal om padtraverseringsaanvallen te voorkomen. Het monitoren van systeemactiviteit op verdachte patronen kan ook helpen bij het detecteren en reageren op potentiële aanvallen. Het implementeren van een beveiligingsbeleid dat de privileges van applicaties beperkt, is een aanbevolen praktijk.