CVE-2026-77930
CVE-2026-77930 · EvoScientist 0.1.0 before 0.2.5 Human Approval Bypass via Async Sub-Agents
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
EvoScientist 0.1.0 before 0.2.5 contains an approval bypass vulnerability that allows attackers to run host shell commands by delegating them to async sub-agents lacking an interrupt_on gate. Attackers can plant instructions in ingested content such as fetched web pages, so the agent calls start_async_task and runs commands with user privileges and environment secrets.
CVSS 9.3 · Kritisch · EPSS 0,7% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
evoscientist
- Softwareversionen
- ≥ 0.1.0, < 0.2.5: Betroffen (semver)
Auf 0.2.5 aktualisieren
Originalquellen
- https://www.lasso.security/vulnerability-database/cve-2026-77930
- https://github.com/EvoScientist/EvoScientist/issues/387
- https://github.com/EvoScientist/EvoScientist/commit/d249e320bd856a7d31d859cfbb2bf75bab6c8686
- https://github.com/EvoScientist/EvoScientist/releases/tag/v0.2.5
- https://github.com/EvoScientist/EvoScientist/blob/ac58caab7bdd1706f3fee55891f611cd175d05b0/EvoScientist/subagents/_factory.py#L116
- https://www.vulncheck.com/advisories/evoscientist-0.1.0-before-0.2.5-human-approval-bypass-via-async-sub-agents
- https://nvd.nist.gov/vuln/detail/CVE-2026-77930