Veille sécuritéBackend & données
P4Non déterminée
Les versions 1.7 à 1.10 d’agent-zero acceptent des chemins de fichier contrôlés par l’utilisateur sans normalisation ni validation suffisante. La version corrigée n’est pas établie par les éléments disponibles; vérifier l’avis du projet et restreindre les chemins accessibles.
Python
IdentifiantCVE-2026-51851
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : CVE-2026-51851 — NVD
Analyse technique
La fonction FileBrowser.save_text_file ne valide pas suffisamment les chemins fournis par l’utilisateur.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-29T18:17:32.153Z, soit le 2026-10-29T20:17:32.153+02:00, dans la période retenue. Sa mise à jour du 2026-10-30 est postérieure à la borne de fin et n’est pas prise en compte.
ImpactUn chemin manipulé peut permettre l’écriture hors du répertoire prévu.
Versions affectéesmodelscope agent-zero 1.7, 1.8, 1.9 et 1.10
ContournementRestreindre les chemins et permissions accessibles à la fonction d’écriture.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-29T20:17:32.153+02:00
Détection / vérification
Vérifier les versions d’agent-zero et l’usage de FileBrowser.save_text_file avec des chemins contrôlés par l’utilisateur.
Action recommandée
Consulter l’avis du projet pour le correctif et limiter les permissions d’écriture.
Sources
Priorisation DFS : P4 · 1 source(s).