PT-2026-47177 · Foundation Agents · Metagpt

Asuka39 · Publicado 2026-06-07 · Atualizado 2026-06-08 · CVE-2026-11455

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas FoundationAgents MetaGPT versões anteriores a 0.8.3

Description A injeção de comando é possível através do argumento mermaid.path na função check cmd exists() localizada no arquivo metagpt/utils/common.py. Este problema permite que um invasor remoto execute comandos arbitrários, embora o ataque exija um alto grau de complexidade e seja considerado difícil de explorar.

Recommendations Atualize para uma versão posterior a 0.8.2. Como medida paliativa temporária, restrinja ou evite o uso do argumento mermaid.path dentro da função check cmd exists().

Exploit

Correção

Command Injection

Special Elements Injection

Enumeração de Fraquezas

CWE-77

CWE-74

Identificadores relacionados

CVE-2026-11455

Produtos afetados

Metagpt

Referências · 13

• 🔥 https://notion.so/asuka39/MetaGPT-Command-Injection-via-Mermaid-path-Configuration-35fe35b8556880b29113c8c1b414a8b2?source=copy_link · Exploit
• https://github.com/FoundationAgents/MetaGPT/issues/2037 · Nota
• https://vuldb.com/submit/828206 · Nota
• https://twitter.com/threatcluster/status/2063924161592926553 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-11455 · Nota de Segurança
• https://github.com/FoundationAgents/MetaGPT · Nota
• https://vuldb.com/cve/CVE-2026-11455 · Nota
• https://twitter.com/CVEnew/status/2063584036296011829 · Publicação no Twitter
• https://vuldb.com/vuln/369074/cti · Nota
• https://t.me/cveNotify/166412 · Publicação no Telegram
• https://vuldb.com/vuln/369074 · Nota
• https://t.me/CVEtracker/56089 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2063562694410575890 · Publicação no Twitter