MetaGPT recebeu duas CVEs sem correção e sem pontuação de severidade

Duas notificações recaíram sobre MetaGPT, uma das estruturas multiagentes mais citadas, com 70.148 estrelas no GitHub. CVE-2026-79408 é injeção de comando do sistema operacional por meio do argumento path de RepoParser.rebuild_class_views() em metagpt/repo_parser.py. CVE-2026-79407 é traversal de caminho por meio do valor FILE_NAME em metagpt/ext/spo/utils/load.py, permitindo leituras arbitrárias de arquivos. Ambas estão marcadas para a versão 0.8.1.

O que implica “afeta a 0.8.1” e por que isso está errado aqui

Um intervalo de versão em uma notificação normalmente significa que existe uma atualização. Não existe. Nenhum dos registros traz um campo de versão corrigida. O código vulnerável ainda está na branch padrão: repo_parser.py ainda monta f"pyreverse {str(path)} -o dot" e o passa para subprocess.run(..., shell=True), e load.py ainda concatena FILE_NAME a um caminho de configurações sem normalização. A versão 0.8.2, a mais recente, não corrige nenhuma das falhas — ela foi publicada em março de 2025, e o último push no repositório foi em 21 de janeiro de 2026. Ele não está arquivado; apenas deixou de avançar.

O problema dos scanners

Nenhuma das notificações traz uma pontuação CVSS, nem do fornecedor nem do NVD; a severidade aparece como desconhecida. A maioria dos scanners de dependências é configurada com um piso de severidade — alto ou acima, ou médio ou acima. Um registro sem pontuação não ultrapassa esse piso. Em muitos pipelines, essas duas falhas não acionarão nada, e essa é a diferença prática entre uma vulnerabilidade divulgada e uma vulnerabilidade visível.

Onde está o primitivo

O caminho de injeção de comando fica dentro da análise de repositórios — a função que um agente chama sobre uma base de código fornecida pelo usuário. Essa é exatamente a superfície que um agente autônomo de programação aponta, por definição, para entrada não confiável.

O ponto estrutural

As notificações pressupõem um mantenedor do outro lado. Quando um projeto do qual muitos dependem deixa de aceitar commits, a divulgação produz um registro público permanente de uma falha sem correção, e o ônus passa integralmente para quem o incorporou ao próprio código — a maioria dos quais nunca verá o alerta.