PT-2026-60489
CVE-2026-59864
·
تاريخ النشر
2026-07-16
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Kiota الإصدارات الأقدم من 1.29.1
Kiota الإصدارات الأقدم من 1.32.5
الوصف
لا يقوم Kiota، وهو مُنشئ كود عميل HTTP قائم على OpenAPI، بالتحقق من صحة المسارات المُقدمة في الملحقات
x-ai-adaptive-card وx-ai-capabilities عند استخدام الأوامر kiota plugin add وkiota plugin generate (مع -t APIPlugin). وهذا يسمح للمهاجم بإدخال قيم ضارة — مثل المسارات المطلقة، أو مسارات UNC، أو مسارات وحدات Windows، أو عناوين URI، أو تسلسلات عبور الدليل (../) — في الحقل static template.file داخل response semantics في ملفات بيان المكونات الإضافية لـ Microsoft 365 Copilot و Teams التي تم إنشاؤها. عند نشر المكون الإضافي الذي تم إنشاؤه على مضيف ذكاء اصطناعي، قد تتسبب هذه القيم في حدوث تجاوز المسار (path traversal) أو تضمين ملفات خارج الحزمة، حيث يقوم المضيف بحل مرجع الملف خارج حزمة المكون الإضافي المقصود.التوصيات
قم بتحديث Kiota إلى الإصدار 1.29.1 أو أحدث، ثم أعد إنشاء المكونات الإضافية المتأثرة.
قم بتحديث Kiota إلى الإصدار 1.32.5 أو أحدث وأعد إنشاء المكونات الإضافية المتأثرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾