PT-2026-61722
CVE-2026-64650
·
تاريخ النشر
2026-07-20
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @ai-sdk/harness-opencode الأقدم من 1.0.29
الوصف
تقوم أداة الترحيل (relay) بتفويض الطلبات الواردة من أي عملية يحتوي سطر أوامرها على مسار نص برمجي مساعد مسموح به. وهذا يسمح للكود غير الموثوق به الذي يتم تنفيذه في بيئة الحماية (sandbox) باستدعاء أدوات معرّضة من المضيف بشكل تعسفي، مثل عمليات البحث عن الأسرار وعمليات النشر ونداءات واجهة برمجة التطبيقات السحابية (API)، دون وجود حدث استدعاء أداة مصرح به من قبل النموذج. يتطلب استغلال هذه الثغرة وجود بيئة Linux وجلسة harness نشطة مع أدوات مقدمة من المضيف وكود غير موثوق به يتم تنفيذه في بيئة الحماية (sandbox)، مثل التبعية الخبيثة أو البرنامج النصي للبناء أو ربط دورة الحياة. وقد تم الإبلاغ عن حوادث فعلية لاستغلال هذه الثغرة.
التوصيات
قم بالتحديث إلى الإصدار 1.0.29 أو أحدث.
لا تقم بتشغيل نظام Codex على مستودعات غير موثوق بها أو مع تبعيات غير موثوق بها.
قم بتقييد استخدام الأدوات المعرضة من المضيف على العمليات غير الحساسة عند العمل مع كود غير موثوق به.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾