CVE-2026-108543: path traversal в UserProxyAgent фреймворка ag2ai ag2

В开源-фреймворке ag2ai ag2, предназначенном для построения мультиагентных систем на базе больших языковых моделей, выявлена уязвимость класса path traversal (обход каталога). Проблема затрагивает компонент UserProxyAgent — один из ключевых элементов библиотеки, отвечающий за взаимодействие агентов с файловой системой и выполнение операций от имени пользователя.

Подробности

Уязвимость получила идентификатор CVE-2026-108543 и оценку CVSS 5.3 (MEDIUM). Уязвимыми признаны все версии ag2ai ag2 вплоть до 0.13.4 включительно. Причиной проблемы стала некорректная обработка аргумента filename в функции os.path.join внутри компонента UserProxyAgent. Из-за отсутствия должной валидации входных данных злоумышленник может сформировать специально подготовленное значение filename, содержащее последовательности вроде «../», и тем самым выйти за пределы разрешённого каталога. Это позволяет читать или перезаписывать файлы за границами предполагаемой рабочей директории. Согласно описанию CVE, атака может проводиться удалённо, а эксплойт уже находится в открытом доступе и может быть использован злоумышленниками. Дополнительный риск создаёт тот факт, что разработчик был заблаговременно уведомлён об уязвимости, но не ответил на обращение и не выпустил патч. Таким образом, на момент публикации официального исправления не существует. Следует учитывать, что ag2 часто применяется в сценариях, где агентам предоставляется доступ к файловой системе для обработки документов, логов и иных данных. В таких конфигурациях эксплуатация path traversal может привести к утечке конфиденциальной информации или компрометации содержимого каталогов, доступных процессу.

Что делать

Поскольку вендор не выпустил обновление, рекомендуется применить компенсирующие меры: - Обновить ag2ai ag2 до версии выше 0.13.4, если она появится; следить за официальным репозиторием проекта на предмет патча. - Ограничить доступ агентов к файловой системе: запускать их в изолированном окружении (контейнер, песочница, отдельный пользователь с минимальными правами). - Валидировать и нормализовать все значения filename до передачи в UserProxyAgent: отклонять пути с «../», абсолютные пути и символы вне ожидаемого набора. - Не предоставлять агентам доступ к чувствительным каталогам и ограничить рабочий каталог через chroot/namespace. - Рассмотреть временный отказ от использования функциональности UserProxyAgent, связанной с работой с файлами, до выхода исправления. Итог: CVE-2026-108543 — умеренно опасная, но уже публично эксплуатируемая уязвимость path traversal в ag2ai ag2. Отсутствие патча со стороны вендора делает критически важным применение митигаций на стороне пользователей: изоляцию среды, строгую валидацию путей и минимизацию прав доступа агентов к файловой системе.

Источник: CVE Project (cvelistV5)