CVE-2026-31220
Təsvir
PySyft (Syft Datasite/Server) versiya 0.9.5 və daha erkən versiyaları, istifadəçi tərəfindən təqdim edilən kodun kifayət qədər yoxlanılmaması və qum qutusu (sandboxing) mexanizminin olmaması səbəbindən uzaqdan kodun icrasına qarşı həssasdır. Sistem aşağı imtiyazlı istifadəçilərə serverdə uzaqdan icra olunmaq üçün Python funksiyalarını (@sy.syft_function() vasitəsilə) göndərməyə imkan verir. Kodun təsdiqlənməsi mexanizmi mövcud olsa da, təqdim edilən kod təhlükəli əməliyyatlar (məsələn, fayllara giriş, əmrlerin icrası) üçün heç bir təhlükəsizlik yoxlamasından keçmir. Təsdiqləndikdən sonra kod, lazımi izolyasiya olmadan exec() və eval() funksiyaları vasitəsilə server prosesi daxilində icra edilir. Uzaqdakı hücumçu bundan istifadə edərək serverdə ixtiyari Python kodunu icra edə bilər ki, bu da server mühitinin tamamilə ələ keçirilməsinə səbəb olar.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| syftPyPI | v ≤ 0.9.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.