ModelScope AgentScope: Path Traversal in insert_text_file

Zusammenfassung

AgentScope, ein Python-Framework für Multi-Agenten-Anwendungen, enthält in seinem Tool insert_text_file eine Path-Traversal-Schwachstelle. Ein angemeldeter Benutzer mit niedrigen Rechten kann durch manipulierte Dateipfade Dateien ausserhalb des vorgesehenen Arbeitsbereichs lesen oder verändern, mit hoher Auswirkung auf Vertraulichkeit und Integrität. Das Risiko ist dort am höchsten, wo Agenten von externen Benutzern erreichbar sind oder unvertrauenswürdige Inhalte verarbeiten, da auch Prompt Injection das Tool steuern kann. Der betroffene Versionsbereich ist zwischen den Quellen umstritten und muss überprüft werden.

Betroffen

• ModelScope AgentScope 1.0.0 bis 1.0.8 (gemäss CVE-Beschreibung und VulDB).
• Das Gist des Entdeckers nennt stattdessen 1.0.18, 1.0.19 und 1.0.19.post1. Die Versionsangaben des Herstellers konnten nicht bestätigt werden; der CNA-Eintrag führt die betroffenen Versionen als n/a.
• Betroffene Komponente: insert_text_file in _write_text_file.py.

Behoben in

Unbekannt.

• Es existiert ein Pull Request mit dem Titel 'fix(tool): fix path traversal vulnerability in insert_text_file and write_text_file', doch der Merge-Status und die erste korrigierte Version konnten nicht bestätigt werden.
• Es wurde keine Sicherheitsmitteilung des Herstellers gefunden.

Umgehung

• Keine vom Hersteller bestätigte Massnahme.
• Das Tool insert_text_file in Agenten deaktivieren, in denen es nicht benötigt wird.
• Den Agenten-Prozess als Benutzer mit niedrigen Rechten in einem Container oder einer Sandbox betreiben, mit Schreibzugriff nur auf die benötigten Verzeichnisse.
• Agenten mit diesem Tool nicht für nicht vertrauenswürdige Benutzer oder nicht vertrauenswürdige Dokumentinhalte freigeben.

Ausnutzung

• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• Keine Ausnutzung in freier Wildbahn gefunden; eine Quelle führt die CVE nicht im KEV-Katalog.
• Ein öffentliches Gist wird als Proof of Concept referenziert. Dessen Inhalt konnte nicht überprüft werden.

Unsere Empfehlung

• Alle AgentScope-Installationen inventarisieren und deren Versionen erfassen; 1.0.0 bis 1.0.8 sowie die im Gist genannten Versionen als potenziell betroffen behandeln.
• Den Zugriff auf Agenten mit Dateitools einschränken und die Dateiberechtigungen des Agenten-Prozesses begrenzen.
• Auf eine Version mit dem gemerged en Fix aktualisieren, sobald der Hersteller diesen bestätigt.
• NVD und das Repository des Herstellers vor dem Schliessen dieses Eintrags auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-51570 Gist (discoverer) gist.github.com
• VulDB CVE-2026-51570 vuldb.com
• CodeAnt CVE-2026-51570 codeant.ai
• AgentScope pull requests github.com
• AgentScope security page github.com
• Strix CVE-2026-51570 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:05.