Résumé
généré automatiquement à partir des données NVDCognition, dans les versions antérieures à 0.13.0, utilise par défaut une exécution locale pour son agent sandbox et n'impose aucune authentification sur son API REST/SSE (CWE-306). Un attaquant peut créer une session via POST /sessions puis envoyer un message via POST /sessions/{id}/messages sans identifiants, ce qui amène la boucle ReAct de Deep Agents à exécuter des commandes shell arbitraires avec les droits du processus serveur. La faille est notée 9.8 (CRITICAL, CVSS v3.1).
Description NVD (anglais)
Cognition before 0.13.0 contains an unauthenticated remote code execution vulnerability due to defaulting its agent sandbox backend to local execution and shipping no authentication on its REST/SSE API. Attackers can create a session via POST /sessions and post a message via POST /sessions/{id}/messages without credentials, causing the Deep Agents ReAct loop to run attacker-directed shell commands through the local shell backend, resulting in remote code execution as the server process.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 19 oct. 2026
- Mis à jour
- 19 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-306
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.