PT-2026-72088
CVE-2026-73678
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات منصة MindsDB Minds الأقدم من 26.1.1
الوصف
ثغرة في تنفيذ التعليمات البرمجية عن بُعد دون مصادقة تسمح للمهاجمين بتنفيذ أوامر تعسفية لنظام التشغيل. تحدث المشكلة عند إرسال مطالبات مُعدّة خصيصًا إلى نقطة النهاية غير المحمية ’POST /api/v1/responses/‘، التي تتفاعل مع أداة ”scratchpad“ الخاصة بوكيل Anton. تستخدم هذه الأداة الدالة
exec() لتشغيل شفرة مصدر Python التي يتحكم فيها المهاجم دون الحاجة إلى بيئة الحماية (sandboxing). يمكن للمهاجم أولاً استخدام نقطة النهاية غير المصادق عليها ’PUT /api/v1/settings/‘ لتكوين مفتاح API مخصص لنموذج اللغة الكبير (LLM)، ثم إرسال موجه لتشغيل أداة scratchpad. ويؤدي ذلك إلى التنفيذ الكامل لأوامر نظام التشغيل بامتيازات المستخدم الذي يقوم بتشغيل تطبيق سطح المكتب، مما قد يؤدي إلى الكشف عن مفاتيح SSH وبيانات الاعتماد المخزنة وأسرار البيئة.التوصيات
تحديث منصة MindsDB Minds إلى إصدار أحدث من 26.1.0.
تقييد الوصول إلى نقاط النهاية ’POST /api/v1/responses/‘ و'PUT /api/v1/settings/' لمنع الوصول غير المصادق عليه.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾