CVE-2026-25130
Təsvir
Cybersecurity AI (CAI), AI təhlükəsizliyi üçün nəzərdə tutulmuş bir freymvorkdur. 0.5.10 versiyadakı və ondan əvvəlki versiyalarda CAI (Cybersecurity AI) freymvorkunun funksiya alətlərində çoxsaylı arqument inyeksiyası zəiflikləri mövcuddur. İstifadəçi tərəfindən idarə olunan girişlər `shell=True` parametri ilə `subprocess.Popen()` vasitəsilə birbaşa shell əmrlərinə ötürülür ki, bu da hücumçulara host sistemdə ixtiyari əmrləri icra etməyə imkan verir. `find_file()` aləti, "find" əmrinin öncədən təsdiqlənmiş "təhlükəsiz" əmr hesab edilməsi səbəbindən istifadəçi təsdiqi olmadan icra olunur. Bu o deməkdir ki, hücumçu args parametrini zərərli arqumentlərlə (məsələn, -exec) dolduraraq uzaqdan kodun icrasını (RCE) həyata keçirə bilər və hər hansı insan müdaxiləsinə əsaslanan təhlükəsizlik mexanizmlərindən tamamilə yan keçə bilər. e22a1220f764e2d7cf9da6d6144926f53ca01cde commit-i bu problem üçün düzəliş ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cai-frameworkPyPI | v ≤ 0.5.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.