Cognition 0.13.0 öncesi sürümlerde kimlik doğrulama olmadan uzaktan kod yürütme açığı
Yapay zeka üretimi20.10.2026
- CVE
- CVE-2026-109437
- Ciddiyet
- Kritik (CVSS 9.8)
- Firma / ürün
- - / -
Özet
NVD kaydına göre Cognition'ın 0.13.0 öncesi sürümlerinde, kimlik doğrulama gerektirmeyen bir REST/SSE API'si üzerinden uzaktan kod yürütme riski bulunuyor.
Ayrıntılar
NVD kaydına göre Cognition 0.13.0 öncesi sürümlerinde, ajan sandbox arka ucunun yerel yürütmeye varsayılan olması ve REST/SSE API'sinde kimlik doğrulama bulunmaması nedeniyle kimlik doğrulama gerektirmeyen bir uzaktan kod yürütme açığı mevcut. Saldırganlar POST /sessions isteğiyle oturum oluşturup, POST /sessions/{id}/messages isteğiyle kimlik bilgisi olmadan mesaj göndererek Deep Agents ReAct döngüsünü tetikleyebilir ve yerel kabuk üzerinden saldırgan yönlendirmeli komutları çalıştırabilir. Bu durum, sunucu sürecinin yetkileriyle uzaktan kod yürütülmesine yol açar ve açığın ciddiyeti kritik (CVSS 9.8) olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.