何が起きたか
ConvertおよびMerge AIエージェントツールは、相対ファイルパスを設定された出力ディレクトリに固定せず、プロセスの現在の作業ディレクトリに対して解決するため、任意のファイル読み取りと、書き込み可能な場合は上書きが可能なパストラバーサルが発生します（CVSS 7.1、CWE-22）。
なぜ重要か
低権限ユーザーのためにファイルを操作するAIエージェントツールは、意図されたサンドボックス外のファイルを読み取り・上書きするチャネルとなり、ドキュメントや設定の漏洩、およびエージェントが後で消費するファイルの改ざんリスクをもたらします。
攻撃経路
認証済みの低権限呼び出し元が、プロセスの作業ディレクトリに対して解決される相対パスを含むツール引数を提供することで、設定された出力ディレクトリ外の読み取りや、書き込み可能なファイルの上書きが可能になります。
影響を受けるシステム
Progress Telerik Document Processing Libraries >= 2026.1.210、< 2026.3.1027
緩和策
Telerik Document Processing Libraries 2026.3.1027にアップグレードしてください（KBアドバイザリ参照）。ツール引数のパスを意図された出力ディレクトリに制限してください。