CVE-2026-35002
Agno: execução arbitrária de código via `eval()` em `field_type` em `FunctionCall`
Versões do Agno anteriores à 2.3.24 contêm uma vulnerabilidade de execução arbitrária de código no componente de execução do modelo. O parâmetro field_type em um campo de entrada FunctionCall foi passado para o built-in eval() do Python, permitindo que um atacante que pudesse influenciar esse valor executasse código Python arbitrário no processo Agno.
Traduzido automaticamente do inglês.
- Agno Agno
- Crítica
- CVSS 9.8
- EPSS 0,84%
- Versão corrigida informada
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Agno Agno | antes de 2.3.24 | 2.3.24 |
O registro CVE lista 1 faixa que esta página não consegue informar com exatidão.
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| agno (PyPI) | < 2.3.24 | 2.3.24 | GHSA-m4w4-3r8h-jw98 |
Alertas e correções
- Correção github.com
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.8 (v3.1, pontuado por GitHub)
- EPSS
- 0,84% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 27 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: nenhuma. Automatizável: sim. Impacto técnico: total. Em 2 de abr. de 2026.
- Fraqueza
- CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection')
- Fabricante
- Agno, Agno
Linha do tempo
- O GitHub publicou o alerta GHSA-m4w4-3r8h-jw98 (crítica). Corrigido em 2.3.24.