漏洞概述 标题: IDOR在Agent管理中允许删除任何Agent并停止任何调度 描述: 多个Agent管理端点允许任何经过身份验证的用户删除Agent、停止调度或读取属于其他组织的调度数据。 端点执行软删除，同时终止所有正在运行的执行，导致即时服务中断。 影响范围 生态系统: pip 包名称: SuperAGI 受影响版本: 所有版本，包括最新（main分支，提交 c3c1982） 已修复版本: 无 修复方案 严重程度: 高 向量字符串: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H 弱点: CWE-639: 通过用户控制的键绕过授权 POC代码 影响 数据破坏: 删除Agent会终止其所有执行并停止调度。 服务中断: 受害者的自动化Agent管道立即停止。 信息泄露: Agent调度配置（cron表达式、开始时间）被暴露。 证据日志 端点遵循已验证的IDOR模式——仅检查 ，无组织过滤器。 发生情况 永久链接: - https://github.com/TransformerOptimus/SuperAGI/blob/c3c19827bd6a11cfed53c5a193ea502f924b1b6/superagi/controllers/agent.py#L420 - https://github.com/TransformerOptimus/SuperAGI/blob/c3c19827bd6a11cfed53c5a193ea502f924b1b6/superagi/controllers/agent.py#L256 - https://github.com/TransformerOptimus/SuperAGI/blob/c3c19827bd6a11cfed53c5a193ea502f924b1b6/superagi/controllers/agent.py#L329