PT-2026-41570
CVE-2026-8767
·
تاريخ النشر
2026-05-17
·
تاريخ التحديث
2026-10-14
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Vercel AI الأقدم من 3.0.98
الوصف
توجد ثغرة تتعلق بحقن أوامر نظام التشغيل في مكون «PR Branch Name Interpolation». وتقع هذه الثغرة داخل الدالة
run() في الملف .github/workflows/prettier-on-automerge.yml. وهذا يسمح لمهاجم عن بُعد بتنفيذ أوامر تعسفية لنظام التشغيل، على الرغم من أن تعقيد الهجوم مرتفع ويُعتبر استغلاله صعبًا.التوصيات
قم بالتحديث إلى إصدار أحدث من 3.0.97.
كحل مؤقت، قم بتقييد الوصول إلى الدالة
run() في الملف .github/workflows/prettier-on-automerge.yml أو تعطيلها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾