Vulnerabilidad en @agenticmail/api de agenticmail (CVE-2026-57494)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
20/07/2026
Última modificación:
24/10/2026
Descripción
AgenticMail proporciona a los agentes de IA direcciones de correo electrónico y números de teléfono reales. En @agenticmail/api, anterior a la versión 0.9.64, un agente de AgenticMail autenticado con bajos privilegios puede enumerar las tareas pendientes/reclamadas de otro agente al proporcionar el nombre del agente objetivo a GET /api/agenticmail/tasks/pending?assignee=[name]. Los objetos de tarea devueltos incluyen los ID de tarea y las cargas útiles. Los mismos ID de tarea pueden luego ser utilizados con los puntos finales de mutación de tareas de estilo de capacidad (/tasks/:id/claim, /tasks/:id/result, /tasks/:id/complete, /tasks/:id/fail) para reclamar, completar o fallar tareas asignadas a un agente diferente. Debido a que los agentes autenticados ordinarios pueden descubrir nombres de agentes a través de GET /api/agenticmail/accounts/directory, el ID de tarea deja de ser efectivamente una capacidad secreta. Esto convierte el modelo de capacidad previsto en una omisión de autorización entre agentes. La versión 0.9.64 contiene una corrección.
Impacto
Puntuación base 4.0
7.10
Gravedad 4.0
ALTA