Critical Progress DataDirect GenAI Flaw Lets Attackers Execute Arbitrary OS Commands
2026/10/07 gbhackers — Progress が公表したのは、DataDirect Autonomous REST Connector AI Model Generator エージェントの Early Access Release に存在する、深刻なコマンド・インジェクションの脆弱性に関する情報である。この脆弱性 CVE-2026-91140 を悪用する攻撃者は、細工した OpenAPI／Swagger ドキュメントを介して、影響を受けるエージェントが動作する環境で任意の OS コマンドを実行できる。公開 GitHub リポジトリ progress/datadirect-arc-ai-model-gen で提供されている、2026年10月6日付のセキュリティ情報では、脆弱性のあるエージェント定義とプロンプト定義が特定されている。Progress は修正版の定義を提供しており、エージェントを再使用する前にダウンロードするよう顧客に求めている。
Skip to content
