PT-2026-66862
CVE-2026-68770
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-10-01
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
sentence-transformers (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة تسمح بتجاوز ضوابط الأمان بسبب خلل منطقي في الدالة المساعدة
import module class الموجودة في ملف sentence transformers/util/misc.py. تتضمن شرط الحماية جملة or os.path.exists(model name or path) التي تستوفي بوابة الثقة إذا كان المسار المقدم موجودًا على نظام الملفات المحلي، متجاهلةً الحجة trust remote code=False. وهذا يسمح للمهاجمين القادرين على التأثير على محتويات دليل النموذج على القرص بوضع ملفات Python ضارة، مثل modeling *.py المشار إليها عبر modules.json. ونتيجةً لذلك، يتم تنفيذ تعليمات برمجية تعسفية أثناء عملية الاستيراد عندما يقوم التطبيق بتحميل النموذج باستخدام SentenceTransformer(path, trust remote code=False)، متجاوزًا بذلك العقد الأمني المقصود.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾