CVE-2026-51915
Beschrijving NL
TransformerOptimus SuperAGI v0.0.14 is kwetsbaar voor onjuiste toegangscontrole in de gereedschapscontroller. In getroffen bronmomentopnamen accepteren get_tool en update_tool in superagi/controllers/tool.py een door de beller geleverde tool_id en verifiëren de eigendom van de organisatie niet via de bijbehorende toolkit. Een op afstand geverifieerde aanvaller van de ene organisatie kan de toolmetagegevens van een andere organisatie lezen of wijzigen via /tools/get/{tool_id} en /tools/update/{tool_id}.
Origineel (Engels) tonen
TransformerOptimus SuperAGI v0.0.14 is vulnerable to Incorrect Access Control in the tool controller. In affected source snapshots, get_tool and update_tool in superagi/controllers/tool.py accept a caller-supplied tool_id and fail to verify organization ownership through the associated toolkit. A remote authenticated attacker from one organization can read or modify another organization's tool metadata through /tools/get/{tool_id} and /tools/update/{tool_id}.