CVE-2026-72742

DSPy 3.3.0b1 versiyasında Image və Audio çıxış sahəsi adapterlərində faylların sızdırılması zəifliyi mövcuddur. Bu zəiflik, dil modelinin çıxışlarına təsir edə bilən hücumçulara, analiz edilən Image və ya Audio tipli çıxışın url sahəsinə fayl sistemi yolunu yerləşdirməklə istənilən lokal faylları oxumağa imkan verir. JSONAdapter və ChatAdapter etibarsız dil modeli tamamlamalarını parse_value vasitəsilə TypeAdapter validasiyasından keçirir ki, bu da image.py və audio.py fayllarındakı os.path.isfile budağı vasitəsilə hər hansı lokal fayl yolunun oxunmasını və base64 formatında kodlaşdırılmasını təmin edən encode_image və ya encode_audio funksiyalarını tetikləyir. Nəticədə, faylın məzmunu hücumçunun nəzarətində olan model son nöqtəsinə göndərilən sorğu mesajlarına daxil edilir.