CVE-2026-34172
Təsvir
Giskard, agentik sistemlərin sınaqdan keçirilməsi və qiymətləndirilməsi üçün açıq mənbəli Python kitabxanasıdır. Versiyalar 0.3.4 və 1.0.2b1-dən əvvəl, ChatWorkflow.chat(message) öz sətir arqumentini birbaşa qumcuqlaşdırılmamış (non-sandboxed) Environment-ə Jinja2 şablon mənbəyi kimi ötürür. İstifadəçi girişini bu metoda ötürən tərtibatçı, Jinja2 sinif traversalı vasitəsilə tam uzaqdan kodun icrasını mümkün edir. Metodun adı olan chat və parametr adı olan message təbiətən istifadəçi girişinin birbaşa ötürülməsini təşviq edir, lakin sətir sadə mətn kimi deyil, səssizcə Jinja2 şablonu kimi analiz edilir. Bu problem versiyalar 0.3.4 və 1.0.2b1-də aradan qaldırılmışdır.
Necə düzəltmək olar
- giskard giskard-agent0.3.4 və ya daha yeni versiya
- giskard-agents0.3.4, 1.0.2b1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| giskard giskard-agent | v < 0.3.4, 1.0.2 | 0.3.4 |
| giskard giskard-agents | 1.0.1 | — |
| giskard-agentsPyPI | v < 0.3.4, 1.0.1a1 ≤ v < 1.0.2b1 | 0.3.4, 1.0.2b1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.