agent-device 0.21.36 本地文件读取漏洞披露

安全信息源 cve.now 披露，callstack 的 agent-device 0.21.36 存在本地文件泄露漏洞 CVE-2026-129130，CVSS 评分 7.1，已在 0.21.37 修复。 据 cve.now 描述，通过远程 /rpc 端点访问 web 命令接口的已认证调用者，可借 file:// URL 读取守护进程所在主机上的文件；触发还要求使用会无额外参数打开 file:// 导航的托管 web 后端 agent-browser 0.39.0，且目标文件对运行守护进程的账户可读。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。