8.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Qwen-Agent through 0.0.34 contains a path traversal vulnerability in the document parser that fails to restrict file access to intended directories. Attackers can supply absolute file paths to the unauthenticated Gradio interface to read arbitrary files accessible by the server process.
Засегнати продукти
- QwenLM Qwen-Agent: до 0.0.34
Вид слабост
История
- 28 август 2026 Публикувано
Други уязвимости в QwenLM Qwen-Agent
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-82275
- https://nvd.nist.gov/vuln/detail/CVE-2026-82275
- https://github.com/QwenLM/Qwen-Agent/issues/912
- https://github.com/QwenLM/Qwen-Agent
- https://github.com/QwenLM/Qwen-Agent/blob/31a4d36d123688581a9e9744427272b33ce940e0/qwen_agent/utils/utils.py
- https://github.com/QwenLM/Qwen-Agent/blob/31a4d36d123688581a9e9744427272b33ce940e0/qwen_agent/tools/simple_doc_parser.py
- https://www.vulncheck.com/advisories/qwen-agent-arbitrary-file-read-via-caller-supplied-document-path