CVE-2026-42076

Kritik

Təsvir

Evolver, AI agentləri üçün GEP əsaslı özünü təkamül etdirən mühərrikdir. Versiya 1.69.3-dən əvvəl, _extractLLM() funksiyasındakı komanda inyeksiyası zəifliyi hücumçulara serverdə ixtiyari shell komandalarını icra etməyə imkan verir. Funksiya sətir birləşdirməsi vasitəsilə curl komandasını qurur və onu lazımi təmizləmə aparmadan execSync()-ə ötürür; bu da corpus parametri shell meta simvolları ehtiva etdikdə uzaqdan kodun icrasına şərait yaradır. Bu problem versiya 1.69.3-də aradan qaldırılmışdır.

CiddilikKritik

CVSS9.8

İstismar ehtimalı—

Məhsul@evomap/evolver

Dərc4 may 2026

İlk görülmə4 may 2026

Zəiflik növüCWE-78Əməliyyat sistemi əmr inyeksiyası

Necə düzəltmək olar

Yeniləyin

@evomap/evolver1.69.3 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
@evomap/evolvernpm	v < 1.69.3	1.69.3

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.