PT-2026-57440
CVE-2026-61447
·
تاريخ النشر
2026-07-11
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PraisonAI السابقة للإصدار 1.6.78
الوصف
توجد ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد في الدالة
CodeAgent. execute python(). يقوم البرنامج بتنفيذ تعليمات برمجية بلغة Python تم إنشاؤها بواسطة نموذج لغوي ضخم (LLM) دون التحقق من صحة شجرة الصياغة المجردة (AST)، أو فرض قيود على الاستيراد، أو تطبيق آلية الحماية في بيئة العزل. يمكن للمهاجم استخدام حقن الأوامر (prompt injection) للتأثير على مخرجات نموذج اللغة الكبير (LLM)، مما يتيح له تنفيذ تعليمات برمجية عشوائية على النظام المضيف واستخراج أسرار البيئة. وقد يحدث ذلك إذا قام الوكيل بمعالجة مدخلات غير موثوق بها، مثل تذاكر دعم العملاء، التي قد تحتوي على تعليمات مخفية لتنفيذ أوامر ضارة.التوصيات
تحديث PraisonAI إلى الإصدار 1.6.78.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾