PT-2025-12231
CVE-2024-8489
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-21
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
modelscope/agentscope الإصدار 21161fe
الوصف
توجد مشكلة تزوير الطلبات عبر المواقع (CSRF) بسبب رؤوس CORS شديدة التساهل في خادم الخلفية لـ AgentScope Studio. وهذا يسمح للمهاجم بالوصول إلى جميع نقاط النهاية في الخلفية، بما في ذلك نقطة النهاية
api/file، مما يتيح قراءة ملفات عشوائية على نظام الملفات المحلي للهدف من خلال CSRF.التوصيات
بالنسبة للإصدار 21161fe، يُنصح بتقييد الوصول إلى نقطة النهاية
api/file ومراجعة رؤوس CORS لمنع الإعدادات المفرطة في السماح. كحل مؤقت، قم بتقييد الوصول إلى الخادم الخلفي لتقليل مخاطر الاستغلال إلى أدنى حد. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾