AgentScope: Path Traversal in write_text_file

Zusammenfassung

AgentScope, ein Python-Framework für Agenten von ModelScope, enthält eine Path-Traversal-Schwachstelle (CWE-22) im Werkzeug write_text_file. Ein Angreifer, der den an diese Funktion übergebenen Dateipfad beeinflussen kann, kann Dateien ausserhalb des vorgesehenen Workspace- oder Speicherbereichs schreiben. Gemäss CVSS-Vektor ist die Ausnutzung über das Netzwerk mit niedrigen Privilegien und ohne Benutzerinteraktion möglich, und es sind Vertraulichkeit und Integrität betroffen. Das Risiko besteht vor allem dort, wo Agenten, APIs oder Workflows nicht vertrauenswürdige Eingaben an dieses Werkzeug übergeben.

Betroffen

• AgentScope-Versionen laut Angaben 1.0.0 bis 1.0.18 (NVD-Text: v1.0.18-v1.0.0).
• Das GitHub-Gist nennt 1.0.18 bis 1.0.19.post1. Der genaue Bereich ist nicht bestätigt.
• Betroffene Komponente: write_text_file in src/agentscope/tool/_text_file/_write_text_file.py.

Behoben in

Unbekannt. Es wurde keine Herstellerwarnung und keine bestätigte korrigierte Version gefunden. Ein Pull Request zur Behebung der Path Traversal in write_text_file existiert, sein Merge-Status und seine Freigabe sind jedoch nicht bestätigt.

Umgehung

• Keine nicht vertrauenswürdigen Eingaben an Agenten oder Workflows übergeben, die write_text_file verwenden.
• Pfade kanonisieren und vor dem Schreiben prüfen, ob sie innerhalb eines erlaubten Verzeichnisses bleiben.
• AgentScope mit Betriebssystemkonten mit minimalen Rechten betreiben, idealerweise in Containern, und Schreibzugriff auf das Arbeitsverzeichnis beschränken.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus poc, automatisierbar: nein, technische Auswirkung: partiell.
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Ein Gist eines Drittanbieters ist als Referenz aufgeführt; sein Inhalt wurde nicht als Proof of Concept verifiziert.

Unsere Empfehlung

• Systeme mit AgentScope inventarisieren und Agenten identifizieren, die write_text_file für benutzergesteuerte Eingaben bereitstellen.
• Dateischreibende Werkzeuge für nicht vertrauenswürdige Eingaben einschränken oder deaktivieren, bis eine korrigierte Version bestätigt ist.
• Sobald der Hersteller eine korrigierte AgentScope-Version veröffentlicht, auf diese aktualisieren und die Version prüfen.
• Dateischreibvorgänge ausserhalb des vorgesehenen Workspace überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-51568 gist (Ro1ME) gist.github.com
• AgentScope issue #1508 github.com
• VulDB CVE-2026-51568 vuldb.com
• CodeAnt vulnerability summary CVE-2026-51568 codeant.ai
• AgentScope pull requests github.com
• AgentScope issue #3179 (related permission path normalisation) github.com
• TheHackerWire CVE-2026-51568 www.thehackerwire.com
• Strix CVE-2026-51568 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:05.