Vulnerabilidades de EvoMap
CVEs publicadas que afetam produtos de EvoMap: 3 registro(s), com severidade, exploração e correções.
CVE-2026-42077
Média · 5.2
CWE-1321 04/05/2026
Evolver: Prototype Pollution via `Object.assign()` in mailbox store operations
Evolver is a GEP-powered self-evolving engine for AI agents. Prior to version 1.69.3, a prototype pollution vulnerability in the mailbox store module allows attackers to modify the behavior of all JavaScript objects by injecting malicious properties into Object.prototype. The vulnerability exists in the _applyUpdate() and _updateRecord() functions which use Object.assign() to merge user-controlled data without filtering dangerous keys like __proto__, constructor, or prototype. This issue has been patched in version 1.69.3.
CVE-2026-42076
Crítica · 9.8
CWE-78 04/05/2026
Injeção de Comando no SO no Evolver da EvoMap em _extractLLM() (CVE-2026-42076)
Evolver é um motor de auto-evolução com tecnologia GEP para agentes de IA. Antes da versão 1.69.3, uma vulnerabilidade de injeção de comando na função _extractLLM() permite que atacantes executem comandos de shell arbitrários no servidor. A função constrói um comando curl por concatenação de strings e o passa para execSync() sem sanitização adequada, possibilitando execução remota de código quando o parâmetro corpus contém metacaracteres de shell. Este problema foi corrigido na versão 1.69.3.
CVE-2026-42075
Alta · 8.1
CWE-22 04/05/2026
Evolver: Path Traversal via `--out` flag in `fetch` command allows Arbitrary File Write
Evolver is a GEP-powered self-evolving engine for AI agents. Prior to version 1.69.3, a path traversal vulnerability in the skill download (fetch) command allows attackers to write files to arbitrary locations on the filesystem. The --out= flag accepts user-provided paths without validation, enabling directory traversal attacks that can overwrite critical system files or create files in sensitive location. This issue has been patched in version 1.69.3.