PT-2026-44540 · Unknown · Ai-Goofish-Monitor

Yu Sun · Publicado 2026-05-28 · Atualizado 2026-05-30 · CVE-2026-10044

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas ai-goofish-monitor (versões afetadas não especificadas)

Descrição Um problema de leitura arbitrária de arquivos não autenticada existe em implantações Windows. Atacantes remotos podem ler arquivos arbitrários fornecendo caminhos absolutos do Windows ou sequências de travessia baseadas em barras invertidas no endpoint 'GET /api/prompts/{filename}'. A falha decorre de uma guarda de travessia de caminho incompleta que bloqueia apenas barras normais e '..', permitindo que a função os.path.join descarte o prefixo do diretório de prompts pretendido quando caminhos absolutos são fornecidos, expondo assim arquivos acessíveis ao processo da aplicação.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-36

Identificadores relacionados

CVE-2026-10044

Produtos afetados

Ai-Goofish-Monitor

Referências · 6

• 🔥 https://github.com/Usagi-org/ai-goofish-monitor/issues/488 · Exploit
• https://github.com/Usagi-org/ai-goofish-monitor/commit/f85d140b6b45029d9a0925feb96dad733b41396d · Correção
• https://github.com/Usagi-org/ai-goofish-monitor/pull/489 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-10044 · Nota de Segurança
• https://t.me/cveNotify/165293 · Publicação no Telegram
• https://vulncheck.com/advisories/ai-goofish-monitor-unauthenticated-arbitrary-file-read-via-get-api-prompts · Nota