PT-2026-35976 · Agentflow · Agentflow

Publicado 2026-04-29 · Atualizado 2026-04-29 · CVE-2026-7466

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas AgentFlow (versões afetadas não especificadas)

Descrição Um problema de execução arbitrária de código existe onde invasores podem executar arquivos de pipeline Python locais. Isso ocorre ao fornecer um parâmetro pipeline path controlado pelo usuário para os endpoints "POST /api/runs" e "POST /api/runs/validate". Isso permite que requisições à API local carreguem e executem arquivos de pipeline Python existentes no disco, resultando na execução de código no contexto do usuário que executa a aplicação.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-7466

Produtos afetados

Agentflow

Referências · 6

• https://github.com/berabuddies/agentflow/pull/18 · Nota
• https://github.com/berabuddies/agentflow/pull/18/changes/7e61b6ce846b3d700456e4874394dc868905a9f2 · Nota
• https://vulncheck.com/advisories/agentflow-arbitrary-python-pipeline-execution-via-pipeline-path · Nota
• https://twitter.com/CVEnew/status/2049578371626176992 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2049580542748737751 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-7466 · Nota de Segurança