PT-2024-39282 · Composiohq · Composio

Aftersnow · CVE-2024-8864 · Publicado 2024-09-14 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas:

Versões do composiohq composio até a 0.5.6

Descrição:

Foi encontrada uma vulnerabilidade crítica no composiohq composio, afetando a função Calculator do arquivo python/composio/tools/local/mathematical/actions/calculator.py. Esta falha leva à injeção de código. A exploração foi divulgada ao público e pode estar sendo utilizada. Houve relatos de atividades maliciosas visando esta vulnerabilidade. O fornecedor foi contatado sobre esta divulgação, mas não respondeu.

Recomendações:

Para versões até 0.5.6, aplique o patch imediatamente e analise os logs em busca de sinais de exploração. Como solução temporária, considere desativar a função Calculator até que um patch esteja disponível. Restrinja o acesso ao arquivo python/composio/tools/local/mathematical/actions/calculator.py para minimizar o risco de exploração.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-8864

GHSA-MRMH-3HQH-PFW7

PYSEC-2026-1266

Produtos afetados

Composio

Referências · 22

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/8xxx/CVE-2024-8864.json · Exploit
• 🔥 https://rumbling-slice-eb0.notion.site/Composio-s-Local-tools-Mathematical-has-a-code-injection-risk-in-composiohq-composio-ea0e89ee10fe4edfb9a8cfeed158c765?pvs=4 · Exploit
• https://github.com/ComposioHQ/composio · Nota
• https://github.com/ComposioHQ/composio/blob/v0.5.6/python/composio/tools/local/mathematical/actions/calculator.py#L29 · Nota
• https://t.me/cvenotify/94652 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-1266 · Aviso do Fabricante
• https://vuldb.com/?submit.403204 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-8864 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-mrmh-3hqh-pfw7 · Aviso do Fabricante
• https://twitter.com/vuldb/status/1835163769129099353 · Publicação no Twitter
• https://github.com/advisories/GHSA-mrmh-3hqh-pfw7 · Nota
• https://twitter.com/cracbot/status/1837008839331418518 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-8864 · Aviso do Fabricante
• https://t.me/cvenotify/94885 · Publicação no Telegram
• https://vuldb.com/?id.277501 · Nota