Résumé
généré automatiquement à partir des données NVDpiflow 2.0.0 à 2.0.1 contient une vulnérabilité d'exécution de code à distance dans son agent de chat DeepAgents, dont les endpoints POST /chat et POST /chat/stream ne requièrent aucune authentification (CWE-306). Un attaquant peut ordonner à l'agent d'appeler l'outil exec_shell, qui exécute des commandes arbitraires via subprocess.run, sans validation humaine ni liste d'autorisation. Cela expose des secrets d'environnement, comme des clés d'API de LLM et des identifiants de base de données. Score CVSS v3.1 : 9.8 (critique).
Description NVD (anglais)
piflow 2.0.0 through 2.0.1 contains a remote code execution vulnerability in its DeepAgents chat agent, whose POST /chat and POST /chat/stream endpoints lack authentication. Attackers can instruct the agent to call the exec_shell tool, which runs arbitrary commands via subprocess.run without human approval or an allow-list, exposing environment secrets such as LLM API keys and database credentials.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 20 oct. 2026
- Mis à jour
- 20 oct. 2026
- Statut
- Received
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (4)
CVEs similaires
Autres vulnérabilités de type CWE-306
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.