Agno PandasTools: Codeausführung über unsichere Reflection

Zusammenfassung

Agno bis einschliesslich 3.1.11 enthält eine unsichere Reflection-Schwachstelle im Toolkit PandasTools. Das Tool übergibt vom Modell gelieferte Funktionsnamen an getattr() auf pandas. Ein Angreifer, der die Eingabe des Agenten beeinflussen kann (zum Beispiel per Prompt Injection über Dokumente oder Nachrichten), kann so pandas.read_pickle mit angreiferkontrollierten Pfaden aufrufen und Code ausführen oder mit anderen Readern lokale Dateien lesen. Der CVSS-4.0-Wert beträgt 9.2 (kritisch), und laut Melder ist die Standardkonfiguration betroffen.

Betroffen

• Agno bis einschliesslich 3.1.11 (gemäss CVE-Eintrag; der genaue Bereich ist nicht vollständig bestätigt)
• Nur Installationen, bei denen PandasTools aktiviert ist

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde kein Herstellerfix gefunden.

Umgehung

• PandasTools auf Agenten deaktivieren, die E-Mails, Webinhalte, hochgeladene Dateien oder andere unvertrauenswürdige Eingaben verarbeiten.
• Modellausgaben nicht über Funktionsnamen oder beliebige Bibliotheksfunktionen entscheiden lassen; feste, vordefinierte Operationen verwenden.
• Dateizugriff des Agenten auf das Minimum beschränken, damit pickle- oder andere Dateilesezugriffe keine sensiblen Pfade erreichen.
• Pickle-Dateien aus unvertrauenswürdigen Quellen nicht laden.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn bestätigt und kein Eintrag im CISA-KEV-Katalog gefunden.
• Die Ursache ist im öffentlichen Issue #8699 beschrieben, und VulDB stuft die Ausnutzbarkeit als einfach ein.
• EPSS: 0.43 % (Perzentil 37).

Unsere Empfehlung

• Alle Agno-Installationen inventarisieren und prüfen, ob PandasTools aktiviert ist.
• PandasTools deaktivieren oder die oben genannten Massnahmen auf Agenten anwenden, die unvertrauenswürdige Inhalte verarbeiten.
• Agno-Releases, Issue #8699 sowie die Einträge bei NVD und VulnCheck auf einen Fix überwachen, da der NVD-Status derzeit Deferred ist.
• Werkzeugprotokolle der Agenten auf unerwartete pandas-Aufrufe prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-119050 mirror (threatint) cve.threatint.com
• VulnCheck advisory www.vulncheck.com
• Agno issue #8699 github.com
• Agno repository github.com
• VulDB entry 428412 vuldb.com
• pandas.py at d9ab0a7 (L54) github.com
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:55.