PT-2026-60490
CVE-2026-59865
·
تاريخ النشر
2026-07-16
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kiota الأقدم من 1.29.1
إصدارات Kiota الأقدم من 1.32.5
الوصف
يحتوي Kiota، وهو مُنشئ أكواد لعميل HTTP قائم على OpenAPI، على مشكلة تتمثل في أن الأمر
kiota info يقرأ القيمة x-ms-kiota-info.languagesInformation.<language>.dependencyInstallCommand، إلى جانب قيم اسم التبعية والإصدار، مباشرةً من وصف OpenAPI. ثم تعرض الأداة هذا الأمر المقدم في المواصفات باعتباره تعليمات التثبيت الموصى بها الخاصة بها. يمكن للمهاجم الذي يقدم وصف OpenAPI مخترقًا أو ضارًا حقن أوامر شل تعسفية في هذه الحقول. إذا قام المطور بتنفيذ الأمر المقترح يدويًّا أو استخدم تدفق kiota info --json الخاص بملحق Kiota لـ VS Code، فقد يؤدي ذلك إلى حقن الأوامر وتنفيذ التعليمات البرمجية عن بُعد (RCE) على محطة العمل أو مضيف CI.التوصيات
تحديث Kiota إلى الإصدار 1.29.1 أو أحدث.
تحديث Kiota إلى الإصدار 1.32.5 أو أحدث.
تحديث ملحق Kiota لـ VS Code إلى إصدار تم بناؤه استنادًا إلى الإصدار 1.32.5 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾