PT-2026-132124
CVE-2026-119050
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Agno الإصدارات السابقة لـ 3.1.12
الوصف
توجد مشكلة انعكاس غير آمن في PandasTools حيث يتم تمرير أسماء وظائف يتحكم فيها النموذج إلى دالة
getattr(). يسمح هذا للمهاجم باستخدام حقن الأوامر (prompt injection) لاستدعاء وظائف pandas عشوائية. على سبيل المثال، يمكن للمهاجم تشغيل pandas.read pickle() على مسار يتم التحكم فيه لتحقيق تنفيذ رمز عن بُعد أو استخدام وظائف قراءة أخرى للوصول إلى الملفات المحلية.التوصيات
التحديث إلى الإصدار 3.1.12 أو أحدث.
تقييد الوظائف التي يمكن استدعاؤها من خلال تنفيذ قائمة مسموح بها (allowlist) لدالة
getattr() في PandasTools. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾