Inspetor de trajetória do agente SWE (inspetor de sujeito), confirmado em v 1.1.0, é um servidor HTTP que junta caminhos de solicitação ao diretório de trajetórias em seu / trajectory/ hander sem rejeitar referências do diretório- pai ('..'), evitando a desinfectação do caminho integrado. O servidor liga todas as interfaces ( 0.0.0.0 ), aplica comodões CORS, e não requer nenhuma autenticação. Um cliente de rede não autenticado (ou uma página web maliciosa via CORS) pode usar sequências de percurso transversal para ler arquivos fora do diretório pretendido. Como os alvos do lavatório de leitura são analisados como trajetória JSON, a divulgação é limitada aos arquivos JSON em forma de trajetória, que podem conter conteúdo do repositório, saída do comando e chaves secretas/API. Registro de aconselhamento: GHSA-hpx 7 - jm 9 p-. 88 - Não. Identificadores relacionados: CVE- 2026 - 75482.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 17 T 21: 31: 27.000 Z e lista a sua última modificação como 2026 - 08 - 17 T 21: 31: 27.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 22. O registro contém 5 suporte de referências nestes tipos: AVISO, WEB.