CVE-2026-115727
Publiée le 2026-10-23 · Dernière modification le 2026-10-23
Les versions d'AgenticSeek antérieures au commit 409840c sont concernées. Ce logiciel fournit un serveur LLM, mais il est livré par erreur avec le mode débogage de Flask activé tout en écoutant sur toutes les interfaces réseau. Cette configuration laisse une console de débogage interactive exposée à toute personne pouvant accéder au port du serveur.
Un attaquant peut exécuter du code Python et des commandes système arbitraires avec les privilèges du processus serveur, entraînant une perte totale de confidentialité, d'intégrité et de disponibilité. Bien qu'aucune authentification ni interaction utilisateur ne soit requise, l'exploitation n'est pas triviale ; l'attaquant doit d'abord obtenir un code PIN de débogage spécifique, lequel peut être déduit de l'environnement du serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
AgenticSeek before commit 409840c contains a remote code execution vulnerability because llm_server/app.py hardcodes Flask debug mode while binding to all interfaces. Attackers who reach the server port and obtain the derivable Werkzeug debugger PIN can execute Python code and operating system commands with llm_server privileges.