griptape-ai griptape ComputerTool tool.py travessia de diretório

Uma vulnerabilidade de travessia de diretório (path traversal) foi descoberta no griptape-ai griptape versão 0.19.4. Esta falha afeta uma parte desconhecida do arquivo griptape\tools\computer\tool.py dentro do componente ComputerTool. Um atacante pode manipular o argumento filename para acessar arquivos e diretórios fora do diretório pretendido, comprometendo potencialmente a integridade do sistema. A gravidade da vulnerabilidade é classificada como CVSS 6.3, indicando um risco moderado. A exploração remota é possível, aumentando a superfície de ataque. A publicação de um exploit sinaliza que a vulnerabilidade é facilmente explorável. A falta de resposta do fornecedor a divulgações antecipadas é preocupante.

Organizations deploying griptape-ai in production environments, particularly those relying on the ComputerTool component for file processing, are at risk. Systems with weak input validation or inadequate access controls are especially vulnerable. Shared hosting environments where multiple users share the same griptape-ai instance should be considered high-priority targets.

• python / server:

import os
import sys

def check_filename(filename):
    # Basic check - prevent '..' sequences
    if '..' in filename:
        return False
    return True

# Example usage (replace with actual input source)
filename = sys.argv[1]
if not check_filename(filename):
    print("Invalid filename detected")

• linux / server:

# Monitor access logs for suspicious file access attempts
grep -i "../" /var/log/griptape-ai/access.log

1. 2026-04-05Disclosure

   disclosure

1. Reservado2026-04-05
2. Publicada2026-04-05
3. Modificada2026-04-06
4. EPSS atualizado2026-04-13

Diante da falta de uma correção por parte do fornecedor, as medidas de mitigação se concentram em medidas preventivas. Recomenda-se fortemente evitar o uso do griptape versão 0.19.4. Se o griptape precisar ser usado, considere atualizar para uma versão posterior (se disponível) ou implementar controles de acesso rigorosos para restringir o acesso a arquivos confidenciais. A validação rigorosa da entrada do usuário, especialmente o argumento filename, é crucial para evitar ataques de travessia de diretório. Monitorar a atividade do sistema em busca de padrões suspeitos também pode ajudar a detectar e responder a possíveis ataques. Implementar uma política de segurança que limite os privilégios das aplicações é uma prática recomendada.