PT-2025-12232
CVE-2024-8501
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-22
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
modelscope/agentscope الإصدار v0.0.4
الوصف
توجد ثغرة أمنية تسمح بتنزيل الملفات بشكل تعسفي في مكون rpc agent client، مما يتيح لأي مستخدم تنزيل الملفات من مضيف rpc agent باستغلال الطريقة
download file. وقد يؤدي ذلك إلى الوصول غير المصرح به إلى المعلومات الحساسة، بما في ذلك ملفات التكوين وبيانات الاعتماد وربما ملفات النظام، مما قد يسهل عمليات استغلال إضافية، مثل تصعيد الامتيازات أو الانتقال الجانبي داخل الشبكة.التوصيات
بالنسبة للإصدار v0.0.4 من modelscope/agentscope، يُنصح بتعطيل الطريقة
download file في المكون rpc agent client حتى يتوفر تصحيح لمنع التنزيلات غير المصرح بها للملفات. قم بتقييد الوصول إلى الملفات والمجلدات الحساسة لتقليل مخاطر الاستغلال. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾