CVE-2026-15746

Strands Agents süni intellekt agentlərinin qurulması və işlədilməsi üçün açıq mənbəli Python SDK-dır. strands-agents-tools paketi, agent yaddaşının saxlanılması üçün elasticsearch_memory aləti də daxil olmaqla, SDK ilə istifadə üçün öncədən hazırlanmış alətlər təmin edir. elasticsearch_memory alətində server tərəfli sorğu saxtakarlığı (SSRF) problemi olan CVE-2026-15746 müəyyən edilmişdir. Alət öz qoşulma parametrlərini (es_url, cloud_id, api_key) böyük dil modelinin (LLM) alət sxemi vasitəsilə idarə edə biləcəyi sahələr kimi təqdim etmişdir. Çağırıcı api_key parametrini ötürmədikdə, alət operatorun ELASTICSEARCH_API_KEY mühit dəyişəninə geri dönmüş və onu LLM-in təyin etdiyi hər hansı bir hosta göndərmişdir. Xüsusi hazırlanmış prompt alətin hücumçunun nəzarətində olan serverə qoşulmasına və operatorun Elasticsearch API açarının Authorization başlığında ifşa olunmasına səbəb ola bilərdi. strands-agents-tools versiyasının 0.7.0 və ya daha yeni versiyasına yüksəltmə etməyiniz tövsiyə olunur. Ehtiyat tədbiri olaraq, kimlik məlumatlarının ifşa olduğuna dair heç bir əlamət olmasa belə, bütün operatorlara ELASTICSEARCH_API_KEY açarlarını yeniləmələri tövsiyə edilir.