Se ha detectado una vulnerabilidad de salto de directorio (CWE-22) en el módulo agent_memory, específicamente en la función create_client. Debido a que el parámetro tenant no era validado, un atacante podría usar secuencias de navegación para escapar del directorio previsto y acceder a secretos de otros clientes.
El impacto real es crítico, ya que permite el acceso no autorizado a credenciales montadas, incluyendo IDs y secretos de clientes OAuth. Aunque Shodan no reporta hosts expuestos actualmente, la falla permite el acceso cross-tenant a información sensible.
| CVE | CVE-2026-120013 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| EPSS | 0.5% en 30 días (percentil 39) |
| CWE | CWE-22 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
T1083 – File and Directory Discovery
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.