PT-2026-121832
CVE-2026-107685
·
تاريخ النشر
2026-10-23
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
req llm الإصدارات من 1.9.0 إلى 1.28.0
Description
يسمح التحقق غير السليم من الشهادات في عميل بث WebSocket للمهاجم الموجود على مسار الشبكة بقراءة وتعديل جلسات WebSocket الخاصة بـ OpenAI، بما في ذلك رمز حامل التفويض
authorization. تقوم الدالة ReqLLM.Streaming.WebSocketSession.Client.start/3 في lib/req llm/streaming/web socket session/client.ex بتشغيل WebSockex بدون خيارات TLS. وبما أن WebSockex يضبط القيمة الافتراضية على insecure: true ، فإنه يتصل باستخدام verify: :verify none ، مما يؤدي إلى قبول أي شهادة. بالإضافة إلى ذلك، تقوم قائمة السماح بالخيارات بإسقاط cacerts أو ssl options المقدمة من المستدعي، مما يمنع التطبيقات من تفعيل التحقق. يؤثر هذا على مسارات WebSocket الخاصة بـ OpenAI Responses و Realtime و Codex، والتي ترسل مفتاح API أو رمز وصول OAuth في رأس authorization.Recommendations
تحديث req llm إلى الإصدار 1.29.0 أو أحدث.
كإجراء مؤقت، اترك خيار مزود
openai stream transport على القيمة الافتراضية :sse لمزودي OpenAI و OpenAI Codex، وتجنب استدعاء ReqLLM.Providers.OpenAI.WebSocket.start responses session/2 مباشرة.
تجنب استخدام ReqLLM.OpenAI.Realtime.connect/2 في الإصدارات المتأثرة لعدم وجود بديل عبر HTTP. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾