CVE-2026-54325

إصدارات Pi السابقة للإصدار 0.79.0

قام Pi بتحميل التكوين والموارد المحلية للمشروع من دليل .pi الخاص بالمستودع، بما في ذلك وحدات TypeScript أو JavaScript القابلة للتنفيذ والمعروفة باسم ملحقات المشروع المحلية، دون مطالبة المستخدم بالثقة في المستودع. ونظرًا لأن الملحقات لا تعمل في بيئة معزولة (sandbox) وتُشغَّل ضمن عملية Pi، فإن المهاجم الذي يتحكم في المستودع يمكنه تنفيذ تعليمات برمجية تعسفية بنفس امتيازات عملية Pi المحلية إذا قام المستخدم بتشغيل Pi من شجرة العمل تلك. وهذا يتيح الوصول إلى الملفات ومتغيرات البيئة وبيانات الاعتماد والشبكة والأدوات المحلية المتاحة للمستخدم. تكمن المشكلة في مسار تحميل موارد المشروع، حيث تم تحميل ملف .pi/settings.json والموارد المكتشفة تلقائيًا والموارد المدارة بواسطة الحزم وملفات تعليمات المشروع أثناء تهيئة الجلسة قبل إنشاء حدود الثقة.

قم بتحديث Pi إلى الإصدار 0.79.0 أو أحدث.

كحل مؤقت، تجنب تشغيل Pi في مستودعات غير موثوق بها أو استخدم بيئة اختبار خارجية لنظام التشغيل أو حاوية أو آلة افتراضية لعزل بيئة التنفيذ.

افحص وأزل تكوينات وموارد Pi الخاصة بالمشروع، وتحديدًا الملحقات الخاصة بالمشروع وتكوين الحزم، قبل استخدامها في مستودعات غير موثوق بها.