CVE-2026-108159
Açıklama
AstronRPA 1.1.6 ve öncesi sürümler, masaüstü istemcisinin smart-component sohbet özelliğinde, v-html aracılığıyla işlenen temizlenmemiş LLM çıktılarının kötüye kullanılmasıyla uzaktan saldırganların işletim sistemi komutlarını çalıştırmasına izin veren bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Saldırganlar, bir web sayfasına prompt-injection içeriği yerleştirerek modelin, kabuk meta karakterleri içeren kısıtlanmamış açık yol IPC yöneticisini çağıran HTML olay işleyicileri üretmesini sağlayabilir ve böylece komutları masaüstü kullanıcısı olarak çalıştırabilirler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| iflytek astron-rpa | v ≤ 1.1.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.