Agent Zero: Directory Traversal in save_file_b64 ermöglicht beliebiges Schreiben von Dateien
Zusammenfassung
Agent Zero in den Versionen 1.7 bis 1.10 enthält eine Directory-Traversal-Schwachstelle in der Dateibrowser-Methode FileBrowser.save_file_b64 (python/helpers/file_browser.py). Die Methode verwendet benutzerseitig übergebene Dateipfade ohne Normalisierung oder Validierung. Ein Angreifer, der Anfragen an die Weboberfläche senden kann oder den KI-Agenten über Prompts steuern kann, kann Dateien ausserhalb des vorgesehenen Arbeitsverzeichnisses schreiben, zum Beispiel in Cron- oder SSH-Konfigurationsverzeichnisse. Der CVE-Eintrag nennt nicht, unter welchen Authentifizierungsbedingungen dies möglich ist.
Betroffen
- agent-zero 1.7
- agent-zero 1.8
- agent-zero 1.9
- agent-zero 1.10
- Komponente: python/helpers/file_browser.py, FileBrowser.save_file_b64
- Ob Version 2.x betroffen ist: Unbekannt.
Behoben in
Unbekannt. Es wurde keine Herstellerempfehlung mit einer korrigierten Version gefunden.
Umgehung
- Die Weboberfläche von Agent Zero nicht aus dem Internet erreichbar machen.
- Den Zugriff auf die Weboberfläche mit einem VPN oder einem authentifizierten Reverse Proxy einschränken.
- Agent Zero in einem Container mit möglichst wenigen Host-Mounts betreiben.
- Schreibrechte des Agent-Zero-Prozesses auf dem Host einschränken.
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc', automatisierbar 'yes', technische Auswirkung 'partial'.
- CISA KEV: nicht gelistet. Es wurden keine Berichte über aktive Ausnutzung gefunden.
- Öffentlicher Proof of Concept: unklar. Das öffentliche Issue und das Gist beschreiben die Schwachstelle mit einer Reproduktion; die Quellen sind sich nicht einig.
Unsere Empfehlung
- Alle Agent-Zero-Instanzen identifizieren und die Versionen prüfen.
- Falls Versionen 1.7 bis 1.10 eingesetzt werden, die Internetexposition der Weboberfläche sofort entfernen.
- Den Zugriff auf vertrauenswürdige Netzwerke beschränken und die Authentifizierung aktivieren.
- Einen Herstellerfix einspielen oder upgraden, sobald der Hersteller eine korrigierte Version bestätigt.
- Den Host auf unerwartete Dateiänderungen überwachen, besonders in Cron-, SSH- und Konfigurationsverzeichnissen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-51852 Gist (Ro1ME) gist.github.com
- agent0ai/agent-zero Issue #1540 github.com
- VulDB CVE-2026-51852 vuldb.com
- Strix CVE-2026-51852 www.strix.ai
- TheHackerWire CVE-2026-51852 www.thehackerwire.com
- thirdeyenation/agent-zero Pull Request #161 github.com
- Agent Zero v1.10 release notes newreleases.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 23:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.