8.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Qwen-Agent through 0.0.34 contains a server-side request forgery vulnerability in the document parsing path that treats caller-supplied paths as URLs without scheme restriction or host validation. Attackers can reach the unauthenticated Gradio interface to make the server issue HTTP requests to arbitrary internal addresses including metadata services and read retrieved content through parsed document output.
Засегнати продукти
- QwenLM Qwen-Agent: до 0.0.34
Вид слабост
История
- 28 август 2026 Публикувано
Други уязвимости в QwenLM Qwen-Agent
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-82268
- https://nvd.nist.gov/vuln/detail/CVE-2026-82268
- https://github.com/QwenLM/Qwen-Agent/issues/913
- https://github.com/QwenLM/Qwen-Agent
- https://github.com/QwenLM/Qwen-Agent/blob/31a4d36d123688581a9e9744427272b33ce940e0/qwen_agent/tools/simple_doc_parser.py
- https://www.vulncheck.com/advisories/qwen-agent-server-side-request-forgery-via-caller-supplied-document-url