Błąd w agent-device umożliwiał zdalny odczyt lokalnych plików na hoście

GitHub Security Advisories ujawniło 13 listopada 2026 roku lokalną podatność umożliwiającą wyciek plików w agent-device. agent-device to otwartoźródłowe CLI, serwer MCP i API w Node.js, które pozwalają agentom AI kontrolować aplikacje mobilne, webowe, telewizyjne i desktopowe na rzeczywistych urządzeniach i symulatorach, a zgłoszenie wskazuje, że uwierzytelniony zdalny wywołujący może wykraść dowolne odczytywalne pliki z hosta, na którym działa usługa. Pełne informacje znajdują się w agent-device Local File Disclosure via file:// Navigation in Open Command.

Co się zmieniło

• agent-device jest opisywany jako otwartoźródłowa warstwa urządzeń dla agentów AI: CLI, serwer MCP i typowane API w Node.js do kontrolowania aplikacji mobilnych, webowych, telewizyjnych i desktopowych na urządzeniach i symulatorach.
• Zgłoszenie jest oznaczone jako GHSA-g87j-p64h-w8wc oraz CVE-2026-129130 i sklasyfikowane jako CWE-73 (External Control of File Name or Path).
• Podatne są wersje 0.21.36 i wcześniejsze; poprawka trafiła do wersji 0.21.37.
• Dotkliwość CVSS jest podawana jako 6.5 (Medium) przez jeden tracker i 7.1 (High) przez inny.
• Uwierzytelniony zdalny wywołujący może wysłać komendę open kierującą na adres file:// przez interfejs /rpc.
• Kolejna komenda snapshot pozwala atakującemu wykraść każdy czytelny plik tekstowy dostępny dla konta hosta, na którym działa demon.

Co to znaczy dla osób budujących z AI

Podatność znajduje się w serwerze MCP zbudowanym specjalnie do tego, by agenci AI mogli kontrolować prawdziwe urządzenia, co oznacza, że zdalny atakujący może odczytać dowolne lokalne pliki przez demona samego agenta. Dla zespołów wdrażających automatyzację urządzeń opartą na agentach to konkretne ryzyko w łańcuchu dostaw: każdy przepływ pracy, który wystawia interfejs /rpc agent-device na zdalnego wywołującego, może ujawnić czytelne pliki dostępne dla konta uruchamiającego demona.

Poprawka i dostępność

Poprawka trafiła do wersji 0.21.37; wersje 0.21.36 i wcześniejsze pozostają podatne. Zespoły korzystające z agent-device w ramach potoku automatyzacji urządzeń opartej na agentach powinny zaktualizować się do 0.21.37, aby zamknąć ścieżkę ataku opisaną w zgłoszeniu, wykorzystującą komendy open i snapshot.

Źródła

• agent-device Local File Disclosure via file:// Navigation in Open Command (GitHub Security Advisories, 13 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.