PT-2025-12235 · Modelscope · Agentscope

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-8537

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas modelscope/agentscope todas as versões

Descrição O problema está relacionado a uma vulnerabilidade de path traversal na aplicação. Ela está presente no endpoint "/delete-workflow", o que permite que um atacante exclua arquivos arbitrários do sistema de arquivos. Este problema surge devido à validação de entrada inadequada, permitindo que o atacante manipule caminhos de arquivos e exclua arquivos sensíveis fora do diretório pretendido.

Recomendações Para todas as versões, considere desabilitar o acesso ao endpoint "/delete-workflow" até que uma correção adequada seja aplicada, e assegure-se de que a validação de entrada adequada seja implementada para prevenir a manipulação de caminho. Restrinja o acesso a arquivos e diretórios sensíveis para minimizar o risco de exploração.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

CWE-29

Identificadores relacionados

CVE-2024-8537

GHSA-C4CC-W454-4634

Produtos afetados

Agentscope

Referências · 8

• 🔥 https://huntr.com/bounties/eeb8aa4b-e6e5-465c-b0dd-aa97e3b7dc09 · Exploit
• https://github.com/modelscope/agentscope/blob/01530ee6a99c86426aab1be11ec3b3b86ca640ac/src/agentscope/studio/_app.py#L743 · Nota
• https://github.com/modelscope/agentscope/commit/7d285e862f86fa1d96ed04c4cd40a5f1b8f9189a · Nota
• https://github.com/modelscope/agentscope · Nota
• https://github.com/modelscope/agentscope/pull/459 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-8537 · Nota de Segurança
• https://twitter.com/CVEnew/status/1902671039999418725 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-c4cc-w454-4634 · Aviso do Fabricante