PT-2026-40065
CVE-2026-31226
·
تاريخ النشر
2026-05-12
·
تاريخ التحديث
2026-05-19
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات TinyZero السابقة لـ commit 6652a63c57fa7e5ccde3fc9c598c7176ff15b839
الوصف
يوجد ثغرة حقن الأوامر في أدوات تشغيل ملفات HDFS بسبب البناء غير الآمن لأوامر shell وتنفيذها عبر الدالة
os.system() دون تنقية المدخلات أو الهروب منها بشكل صحيح. يتم إدراج المدخلات التي يتحكم فيها المستخدم، مثل مسارات الملفات، مباشرةً في سلاسل أوامر shell باستخدام سلاسل f-strings داخل الدالة copy(). يمكن للمهاجم حقن أوامر نظام تشغيل تعسفية عن طريق توفير معلمة مسار مصممة خصيصًا من خلال إطار عمل تكوين Hydra، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات المستخدم الذي يقوم بتشغيل عملية التدريب.التوصيات
تحديث TinyZero إلى إصدار أحدث من الالتزام 6652a63c57fa7e5ccde3fc9c598c7176ff15b839.
كحل مؤقت، قم بتقييد أو تجنب استخدام الدالة
copy() ومعلمة المسار ضمن إطار عمل تكوين Hydra حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾