جزئیات آسیب‌پذیری
CVE-2026-105032
EnergizeLab FastAPI AI inference server
EnergizeLab Eilik AI Skill Upload Unauthenticated Path Traversal Arbitrary File Write
CVSS 3.1
9.1بحرانی
شرح رسمی (انگلیسی)
The EnergizeLab Eilik and EilikO AI skill upload endpoint, served by the FastAPI AI inference and profiling services, does not require authentication and does not constrain uploaded file paths. An unauthenticated remote attacker can use path traversal to write arbitrary files, and thereby tamper with AI skill files used by Eilik and EilikO robots.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.1بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (AHA) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| EnergizeLab | FastAPI AI inference server | همه | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/xn0tsa/your-secrets-are-safe-with-me technical-description
- https://takeonme.org/gcves/GCVE-1337-2026-00000000000000000000000000000000000000000000000001011111111110011111111110000000000000000000000000000000000000000000000000000001100/ third-party-advisory
- https://www.theverge.com/tech/1010727/eiliko-robot-hack-energize-lab media-coverage
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۷/۲۴
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۲۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- AHA
پیش‌بینی بهره‌برداری (EPSS)
۰٫۹٪
احتمال بهره‌برداری در ۳۰ روز
۵۹٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-434Unrestricted Upload of File with Dangerous Type
- CWE-22Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')