CVE-2026-31236
Təsvir
llm CLI alətinin 0.27.1 versiyasına qədər olan versiyaları --functions komanda sətri arqumenti vasitəsilə kritik kod inyeksiyası zəifliyinə malikdir. Bu arqument istifadəçilərə xüsusi Python funksiya tərifləri təqdim etməyə imkan vermək üçün nəzərdə tutulub. Lakin alət təqdim edilmiş kodu heç bir təmizləmə, qum sandbox və ya təhlükəsizlik məhdudiyyətləri olmadan təhlükəli exec() funksiyasını istifadə edərək birbaşa icra edir. Hücumçu, --functions arqumentində ixtiyari Python kodu olan zərərli llm əmrini hazırlayaraq və sosial mühəndislik vasitəsilə qurbanı onu işə salmağa sövq edərək bu boşluqdan istifadə edə bilər. Bu, qurbanın sistemində ixtiyari kodun icrasına gətirib çıxarır və potensial olaraq hücumçuya tam nəzarət imkanı verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| llmPyPI | v ≤ 0.27.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.