PT-2026-61797
CVE-2026-57143
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-10-13
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
praisonaiagents (الإصدارات المتأثرة غير محددة)
الوصف
توجد مشكلة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في أدوات البحث SearxNG و
search web. يتم تمرير المتغير searxng url إلى الدالة requests.get() دون التحقق من صحة نظام العنوان أو المضيف أو المنفذ. ونظرًا لأن هذا المتغير يُكشف كمعلمة للأداة أمام نموذج اللغة الكبير (LLM)، ولأن هذه الأدوات تشكل جزءًا من مجموعة أدوات الوكيل الافتراضية، فإن هذه المشكلة يمكن أن تُثار عن طريق حقن المطالبة (prompt injection) عندما يقوم الوكيل بمعالجة محتوى غير موثوق به مثل صفحات الويب أو الملفات.وهذا يسمح للمهاجم بإجبار الخادم على إرسال طلبات إلى نقاط نهاية داخلية عشوائية، مما يتيح قراءة الخدمات الداخلية وواجهات برمجة التطبيقات (APIs) التي تُرجع JSON، بالإضافة إلى تعداد المضيفات والمنافذ الداخلية. في البيئات السحابية، يمكن الوصول إلى نقطة نهاية بيانات تعريف المثيل (169.254.169.254)، مما قد يؤدي إلى الكشف عن بيانات اعتماد IAM. توجد الثغرة الأمنية في الدالتين
searxng search() و search searxng().التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كحل مؤقت، قم بتقييد استخدام المعلمة
searxng url في الدالتين search web() وsearxng search() لمنع الطلبات الداخلية التعسفية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾