PT-2026-77159
CVE-2026-75858
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 4.0
8.5
عاليةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CodeWhale من 0.8.41 إلى 0.8.63
الوصف
توجد مشكلة في تنفيذ التعليمات البرمجية عن بُعد في أداة
rlm eval. تُرجع الدالة approval requirement() القيمة ApprovalRequirement::Auto، والتي يفسرها المحرك على أنها أمر بعدم مطالبة المستخدم أبدًا. وهذا يسمح بتنفيذ تعليمات برمجية Python تعسفية مقدمة من نموذج ما في مترجم python3، متجاوزًا الإعداد --approval-policy المُحدد ومتجاهلًا أي مطالبة بالموافقة أو خطوة تدقيق. يمكن للمهاجم استغلال هذه الثغرة عن طريق حقن المطالبات ضمن محتوى غير موثوق به يقرأه الوكيل، مثل صفحات الويب، أو عناوين URL التي تم جلبها، أو ملفات المستودع، أو نتائج أداة MCP. يمكن استخدام أداة rlm open لتجهيز هذا المحتوى. يتم تشغيل الكود المنفذ على الجهاز المحلي بامتيازات المستخدم.التوصيات
قم بالتحديث إلى الإصدار 0.8.64.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾