CVE-2026-108592
Vulnérabilité moyenne dans mini-swe-agent (SWE-agent)
CVSS 6.0 · Moyenne
EPSS 0.3%
SWE-agent•mini-swe-agent•Versions : 1.10.0, <=2.4.6
Description
mini-swe-agent 1.10.0 through 2.4.6 contains an information exposure vulnerability in BubblewrapEnvironment because bwrap omits --clearenv, so sandboxed commands inherit the host environment. Attackers using prompt injection in processed task content can make the agent read API keys from the environment and exfiltrate them over the shared network.
Gravité et risque d'exploitation
CVE-2026-108592 obtient un score CVSS de 6.0/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.32 %, ce qui la place devant 23.0 % des CVE référencées.
Que faire ?
- Vérifiez si mini-swe-agent (versions 1.10.0, <=2.4.6) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://hackmd.io/@haind/minisweagent-bubblewrap-host-environment-leak
- https://github.com/SWE-agent/mini-swe-agent/blob/v2.4.6/src/minisweagent/environments/extra/bubblewrap.py#L38-L103
- https://github.com/SWE-agent/mini-swe-agent
- https://www.vulncheck.com/advisories/mini-swe-agent-1.10.0-through-2.4.6-environment-exposure-via-bubblewrapenvironment