9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Cognition before 0.13.0 contains an unauthenticated remote code execution vulnerability due to defaulting its agent sandbox backend to local execution and shipping no authentication on its REST/SSE API. Attackers can create a session via POST /sessions and post a message via POST /sessions/{id}/messages without credentials, causing the Deep Agents ReAct loop to run attacker-directed shell commands through the local shell backend, resulting in remote code execution as the server process.
Засегнати продукти
- CognicellAI Cognition: преди 0.13.0
Вид слабост
История
- 19 октомври 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-109437
- https://nvd.nist.gov/vuln/detail/CVE-2026-109437
- https://www.lasso.security/vulnerability-database/cve-2026-109437
- https://github.com/CognicellAI/Cognition/releases/tag/v0.13.0
- https://www.vulncheck.com/advisories/cognition-unauthenticated-rce-via-local-shell-backend