JVNDB-2026-028498

Network-AIにおける複数の脆弱性

Network-AIはTypeScript/Node.js製のマルチエージェントオーケストレーターです。バージョン5.12.2以前では、`EnvironmentManager.backup()`が`_collectBackupFiles()`を使用してファイルを再帰的に収集していました。`_collectBackupFiles()`は`statSync(full)`を使用しており、この関数はシンボリックリンクを辿ります。もし`data/＜env＞`内に環境ルート外のディレクトリを指すシンボリックリンクが存在すると、バックアップの再帰処理はそのリンクを辿り、外部ファイルを`data/＜env＞/.backups/＜backupId＞/`にコピーしてしまいます。攻撃者が環境のデータディレクトリ内にシンボリックリンクを置ければ、バックアップ操作により環境ルート外のファイルがバックアップ成果物に漏洩する原因となります。この問題はv5.12.2で修正されました。`_collectBackupFiles()`は`statSync`の代わりに`lstatSync`を使用し、`isSymbolicLink()`がtrueのエントリはスキップするようになりました。シンボリックリンクは一切辿られなくなったため、`backup()`は環境ルート外へのリンクを辿って外部ファイルをバックアップ成果物にコピーしなくなりました。

Network-AI

• Network-AI 5.12.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : EnvironmentManager.backup() follows symlinked directories and copies files outside the environment root into backups  Advisory  Jovancoding/Network-AI  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-58414

1. National Vulnerability Database (NVD) : CVE-2026-58414
2. 関連文書 : Release v5.12.2 ― Security patch (5 CVEs)  Jovancoding/Network-AI  GitHub
3. 関連文書 : fix(security): patch 5 CVEs ― symlink escape, path traversal, poisone…  Jovancoding/Network-AI@a59c13a  GitHub

• [2026年08月17日]
    掲載