Veille sécuritéBackend & données
P3Critique
Agno utilisait `eval()` sur le champ `field_type` de données FunctionCall pouvant être influencées par un utilisateur, ce qui peut permettre l’exécution de code arbitraire dans le processus. La faille concerne les versions antérieures à 2.3.24 ; mettre à niveau vers 2.3.24 ou une version ultérieure.
Python
IdentifiantCVE-2026-35002
GravitéCritique
Exploitationnon connue / non déterminée
Correctif2.3.24
Source : GHSA-m4w4-3r8h-jw98 — Agno: Arbitrary code execution via eval() on field_type in FunctionCall
Analyse technique
L’avis indique que l’appel à `eval()` a été remplacé par une recherche dans une table de types autorisés et une validation du champ.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-27T13:30:41Z, dans la période demandée.
ImpactL’exploitation peut permettre l’exécution de code arbitraire et compromettre la confidentialité, l’intégrité et la disponibilité du processus Agno.
Versions affectéesAgno < 2.3.24
Version corrigée2.3.24
ContournementAucun contournement sûr indiqué ; à défaut de mise à niveau, empêcher toute entrée non fiable d’atteindre le champ `field_type`.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,84% · percentile 57,7%
Publication2026-10-27T13:30:41Z
Mise à jour2026-10-27T13:30:42Z
Action recommandée
Mettre à niveau Agno vers 2.3.24 ou une version ultérieure ; limiter l’accès aux entrées FunctionCall non fiables jusqu’à la mise à jour.
Sources
Priorisation DFS : P3 · 1 source(s).