PT-2026-22102
CVE-2026-27952
·
تاريخ النشر
2026-02-26
·
تاريخ التحديث
2026-03-19
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Agenta-API الأقدم من 0.48.1
الوصف
Agenta هي منصة LLMOps مفتوحة المصدر. في إصدارات Agenta-API الأقدم من 0.48.1، كان هناك ثغرة في عزل بيئة Python (sandbox) في مُقيِّم الكود المخصص في Agenta. كانت المنصة تستخدم RestrictedPython كآلية عزل (sandboxing) لرمز المُقيّم المقدم من المستخدم، لكنها أدرجت الحزمة
numpy بشكل خاطئ على أنها آمنة داخل صندوق الحماية. وقد سمح ذلك للمستخدمين المصادق عليهم بالالتفاف على صندوق الحماية وتنفيذ رمز تعسفي على خادم واجهة برمجة التطبيقات (API). كان مسار الاختراق عبر numpy.ma.core.inspect، الذي يعرض أدوات استكشاف داخلية لـ Python – بما في ذلك sys.modules – مما يوفر الوصول إلى وظائف على مستوى النظام غير مرشحة، مثل os.system. يتم تشغيل مُقيّم الكود المخصص على جانب الخادم داخل عملية واجهة برمجة التطبيقات (API).التوصيات
قم بالتحديث إلى الإصدار 0.48.1 أو أحدث لحل المشكلة. وقد أزالت الإصدارات 0.60 وما بعدها صندوق الحماية (sandbox) من RestrictedPython تمامًا واستبدلته بنموذج تشغيل مختلف.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾