AgentGPT: Fehlerhafte Zugriffskontrolle in der agentRouter-API

Zusammenfassung

AgentGPT v1.0.0 enthält eine fehlerhafte Zugriffskontrolle im Next.js-Router agentRouter.ts. Ein von aussen erreichbarer Pfad akzeptiert einen vom Aufrufer gewählten Objekt- oder Tenant-Identifikator und führt eine Datenzugriffsoperation aus, ohne zu prüfen, ob das Objekt zum Owner, Tenant, Workspace oder zur Mitgliedschaft des Aufrufers gehört. Gemäss CVE-Eintrag kann ein Angreifer dadurch möglicherweise Daten anderer Benutzer oder Tenants lesen, beispielsweise Aufgaben und Ziele eines Agenten. Der mit der Anfrage angegebene CVSS-Vektor lautet PR:N (keine Berechtigungen erforderlich), ist jedoch nicht durch NVD bestätigt, und die öffentliche Analyse bezieht sich auf einen authentifizierten Aufrufer, weshalb das tatsächliche Risiko vom Einsatz abhängt.

Betroffen

• AgentGPT v1.0.0 (gemäss CVE-Beschreibung)
• Andere Versionen: Unbekannt.

Behoben in

Unbekannt. Es wurde keine Herstellerwarnung und keine korrigierte Version gefunden. Das Projekt scheint archiviert bzw. nicht mehr gepflegt zu sein.

Umgehung

• Die Instanz nicht aus dem Internet erreichbar machen; ein VPN oder einen identitätsbasierten Proxy verwenden.
• Konten auf benötigte Benutzer beschränken und nicht mehr benötigte Konten entfernen.
• Keine sensiblen oder kundenübergreifenden Daten in der Instanz speichern, bis die Eigentümerprüfungen überprüft sind.
• Eine Eigentümerprüfung im Router umsetzen (Zusammenhang zwischen authentifiziertem Benutzer und angeforderter Ressourcen-ID prüfen) oder die Installation ausser Betrieb nehmen.
• Anwendungslogs auf ungewöhnliche Objekt- oder Tenant-Identifikatoren in API-Aufrufen überwachen.

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation-Status PoC, automatisierbar: ja, technische Auswirkung: total.
• Ein öffentliches GitHub-Gist mit Reproduktionsnotizen wird referenziert; dessen Inhalt wurde nicht verifiziert.
• Keine bekannte Ausnutzung in freier Wildbahn; soweit geprüft, nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Prüfen, ob eine AgentGPT-1.0.0-Instanz läuft, insbesondere öffentlich erreichbare oder Mehrbenutzer-Instanzen.
• Die Instanz sofort vom öffentlichen Zugriff trennen oder ausser Betrieb nehmen, falls sie nicht benötigt wird.
• Anwendungs- und Zugriffslogs auf ungewöhnliche Objekt- oder Tenant-Identifikatoren prüfen.
• Die Software als nicht mehr gepflegt betrachten und einen Ersatz oder einen geprüften Fork mit korrigierten Eigentümerprüfungen planen.
• Den offiziellen CVSS-Score und die CWE in der NVD bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-51867 Gist (Researcher) gist.github.com
• VulDB: CVE-2026-51867 vuldb.com
• Strix: CVE-2026-51867 www.strix.ai
• OffSeq Radar: CVE-2026-51867 radar.offseq.com
• TheHackerWire: CVE-2026-51867 www.thehackerwire.com
• DeepWiki: reworkd/AgentGPT deepwiki.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:42.