Apa yang terjadi
Alat AI agent Convert dan Merge menyelesaikan jalur file relatif terhadap direktori kerja proses saat ini alih-alih menguncinya ke direktori output yang dikonfigurasi, sehingga memungkinkan path traversal untuk pembacaan file arbitrer dan, jika dapat ditulis, penimpaan (CVSS 7.1, CWE-22).
Mengapa penting
Alat AI agent yang memanipulasi file atas nama pengguna berhak rendah menjadi saluran untuk membaca dan menimpa file di luar sandbox yang dimaksudkan, sehingga berisiko membocorkan dokumen/konfigurasi dan merusak file yang nantinya dikonsumsi oleh agent.
Vektor serangan
Pemanggil berhak rendah yang terautentikasi memberikan argumen alat dengan jalur relatif yang diselesaikan terhadap direktori kerja proses, sehingga memungkinkan pembacaan di luar direktori output yang dikonfigurasi dan penimpaan file yang dapat ditulis.
Sistem yang terdampak
Progress Telerik Document Processing Libraries >= 2026.1.210, < 2026.3.1027
Mitigasi
Tingkatkan ke Telerik Document Processing Libraries 2026.3.1027 (lihat advisory KB); batasi jalur argumen alat ke direktori output yang dimaksudkan.