PT-2026-79377
CVE-2026-59318
·
تاريخ النشر
2026-08-21
·
تاريخ التحديث
2026-09-16
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Spring AI الإصدار 2.0.0
Spring AI الإصدارات من 1.1.0 إلى 1.1.8
Spring AI الإصدارات من 1.0.0 إلى 1.0.9
الوصف
في دعم استدعاء الأدوات، يتم الإعلان عن قائمة الأدوات لكل طلب للنموذج كحدود، ولكن لا يتم تطبيقها بالكامل أثناء توزيع استدعاء الأدوات. وهذا يسمح باستدعاء أداة غير متوفرة للطلب الحالي في ظل ظروف معينة، مما قد يؤدي إلى تصعيد الامتيازات. ترتبط هذه المشكلة بالخيار الاحتياطي للمحلل العام
DefaultToolCallingManager الذي يسمح بتوزيع الأدوات غير المعلنة عبر «حقن المطالبة» (prompt injection)، وهي تقنية تُستخدم فيها مدخلات مصممة خصيصًا للتلاعب بمخرجات النموذج.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾