CVE-2026-56692
⚪ Do wiadomości
W NanoClaw występuje luka w symlinkach, umożliwiająca wyciek plików z hosta przez złośliwe agenty.
CVSS
5.5
EPSS
0.2%
Exploit
none
Vendor
Opis źródłowy (NVD)
NanoClaw before 2.1.17 contains a symlink following vulnerability in forwardAttachedFiles that allows container-controlled agents to exfiltrate host-readable files. The host validates attachment filenames using only isSafeAttachmentName before copying with fs.copyFileSync, which follows symlinks without containment checks, allowing malicious agents to disclose arbitrary host files.
brak
Brak patcha
Źródła i daty
| Źródło | Wartość |
|---|---|
| NVD – CVSS | 5.5 |
| CISA KEV (aktywnie wykorzystywane) | Nie |
| FIRST EPSS (prawdopodobieństwo exploita) | 0.2% |
| Opublikowano (NVD) | 2026-06-23 16:17:05 UTC |
| Ostatnia modyfikacja (NVD) | 2026-09-17 18:16:51 UTC |
Referencje
- https://github.com/nanocoai/nanoclaw/commit/28032bc0eca76c91fb3d8be0013e8bcaf2f5aeae ([email protected])
- https://github.com/nanocoai/nanoclaw/pull/2468 ([email protected])
- https://www.vulncheck.com/advisories/nanoclaw-arbitrary-file-read-via-symlink-following-in-forwardattachedfiles ([email protected])