AGiXT是一款动态AI代理自动化平台。在1.9.2版本之前，essentialabilities扩展程序中的safejoin()函数未能验证解析后的文件路径是否仍然在指定的代理工作区内。此路径遍历漏洞允许经过身份验证的攻击者利用目录遍历序列读取、写入或删除托管AGiXT实例的服务器上的任意文件。建议立即升级至1.9.2版本以解决此问题。
该路径遍历漏洞允许攻击者绕过安全限制，访问和修改服务器上的敏感文件。攻击者可以读取配置文件，获取数据库凭据，甚至修改应用程序代码。更严重的后果包括完全控制受影响的服务器，导致数据泄露、服务中断和潜在的供应链攻击。由于AGiXT通常用于自动化任务和处理敏感数据，因此该漏洞的影响范围可能非常广泛，可能影响到依赖AGiXT的下游系统和流程。
该漏洞已公开披露，且由于其相对简单，可能存在公开的利用程序。目前尚未观察到大规模的利用活动，但由于AGiXT的广泛使用，攻击者可能会积极寻找利用此漏洞的机会。该漏洞已添加到CISA KEV目录中，表明其具有较高的安全风险。建议密切关注安全社区的动态，并及时采取缓解措施。
Organizations deploying AGiXT in production environments, particularly those with limited access controls or inadequate monitoring, are at significant risk. Shared hosting environments where multiple AGiXT instances reside on the same server are also vulnerable, as a compromise of one instance could potentially lead to the compromise of others.
• nodejs: Monitor AGiXT logs for unusual file access patterns or attempts to access files outside the designated workspace. Use lsof to identify processes accessing files within the workspace.
lsof /path/to/agixt/workspace• generic web: Examine access logs for requests containing directory traversal sequences (e.g., ../..).
grep '../..' /var/log/apache2/access.log• generic web: Check response headers for unexpected file content or server errors related to file access.
disclosure
漏洞利用状态
EPSS
0.54% (68% 百分位)
CISA SSVC
最有效的缓解措施是立即将AGiXT升级至1.9.2版本或更高版本。如果无法立即升级，可以考虑使用Web应用程序防火墙（WAF）来阻止包含目录遍历序列的请求。此外，应审查AGiXT的配置，确保代理工作区设置正确，并且限制对敏感文件的访问。监控服务器上的文件系统活动，查找未经授权的访问或修改迹象。如果升级导致问题，请尝试回滚到之前的稳定版本，并联系AGiXT支持寻求帮助。
Actualice AGiXT a la versión 1.9.2 o posterior para mitigar la vulnerabilidad de recorrido de directorios. Esta actualización corrige la validación incorrecta de las rutas de archivo, evitando que los atacantes accedan a archivos arbitrarios en el servidor.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-39981是AGiXT 1.0.0到1.9.2版本中发现的路径遍历漏洞，攻击者可以利用它读取、写入或删除服务器上的任意文件。
如果您运行AGiXT 1.0.0到1.9.1版本，则可能受到影响。请立即升级至1.9.2版本。
升级至AGiXT 1.9.2版本或更高版本是修复此漏洞的最佳方法。
虽然目前尚未观察到大规模利用，但由于漏洞的简单性，攻击者可能会积极寻找利用此漏洞的机会。
请访问AGiXT官方网站或GitHub仓库，查找有关CVE-2026-39981的公告和安全更新。
CVSS 向量