CVE-2026-33075
Təsvir
FastGPT AI Agent qurma platformasıdır. 4.14.8.3 və daha aşağı versiyalarda fastgpt-preview-image.yml iş axını hər hansı xarici kontribyutor tərəfindən ixtiyari kodun icrasına və gizli məlumatların sızdırılmasına qarşı həssasdır. O, repozitoriyanın gizli məlumatlarına giriş imkanı verən pull_request_target istifadə edir, lakin kodu pull request müəllifinin forkundan götürür, sonra isə hücumçu tərəfindən idarə olunan Dockerfile-lardan istifadə edərək Docker imicləri qurur və göndərir. Bu, həmçinin istehsalat konteyner reyestri vasitəsilə təchizat zənciri hücumuna yol açır. Nəşr zamanı yamama mövcud deyildi.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fastgpt fastgpt | v ≤ 4.14.8.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.