PT-2026-134911
CVE-2026-120338
·
تاريخ النشر
2026-11-01
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
prefab-ui الإصدارات من 0.14.0 إلى 0.20.2
Description
يقوم صندوق الرمل (sandbox) الخاص بـ Generative UI بتشغيل كود Python المقدم من المستخدم داخل Pyodide في عملية فرعية لـ Deno. يقوم المشغل ببدء Deno بصلاحيات غير مقيدة
--allow-read و --allow-write و --allow-net ويترك واجهة برمجة تطبيقات Deno على كائن JavaScript العام. نظرًا لأن وحدة js الخاصة بـ Pyodide تعمل كوسيط لهذا الكائن العام، يمكن لكود Python استدعاء Deno.readTextFileSync() و Deno.writeTextFileSync(). يسمح هذا للمهاجم بقراءة وكتابة الملفات بصفتها مستخدم نظام تشغيل الخادم وتحقيق تنفيذ مستمر للكود عن طريق كتابة ملف .pth في site-packages الخاصة ببيئة virtualenv للخادم. يمكن الوصول إلى هذه المشكلة عادةً عبر مزود GenerativeUI الخاص بـ FastMCP من خلال أداة generate prefab ui التي تمرر وسيط code إلى صندوق الرمل. في خوادم FastMCP التي لا تحتوي على مصادقة، يمكن لأي عميل يصل إلى الخادم تفعيل ذلك؛ وإلا، يمكن لأي عميل مسموح له باستدعاء الأدوات القيام بذلك.Recommendations
التحديث إلى الإصدار 0.21.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾