何が起きたか
CVE-2026-119050（CVSS 8.1 / 9.2）：Agno 3.1.11まで、PandasToolsに安全でないリフレクションがあり、モデルが制御する関数名をgetattr()で解決します。細工されたプロンプトインジェクションにより、エージェントが攻撃者制御のパスに対してpandas.read_pickleを呼び出してコード実行を行ったり、他のpandasリーダーを呼び出してローカルファイルを読み取ったりできます。ベンダーのアドバイザリ/問題トラッカーは、脆弱なツールコードとパッチ議論を参照しています。
なぜ重要か
プロンプトインジェクションがエージェントフレームワーク内のホストコード実行になります：エージェントの推論を操る攻撃者は、正当なpandasツールを任意の関数呼び出しに変換し、ローカルファイルを流出させたり、エージェントの権限でコードを実行したりできます。
攻撃経路
Agnoエージェントに、getattrを介してpandas関数名（例：read_pickle）を列挙するプロンプトを注入する；エージェントは攻撃者制御のパスでその関数を呼び出し、コードを実行するかローカルファイルを読み取ります。
影響を受けるシステム
Agno (agno) 3.1.11まで。
緩和策
3.1.11以降のパッチ済みリリースにアップグレードする；ツールが呼び出せるpandas関数を制約/ホワイトリスト化し、ファイル読み取りツールを信頼されていないコンテンツに公開しないようにする。