CVE-2026-29872
Açıklama
awesome-llm-apps projesinde e46690f99c3f08be80a9877fab52acacf7ab8251 commit'inde (2026-01-19) oturumlar arası bilgi ifşası güvenlik açığı bulunmaktadır. Etkilenen Streamlit tabanlı GitHub MCP Agent, kullanıcı tarafından sağlanan API token'larını uygun oturum izolasyonu olmaksızın os.environ kullanarak süreç genelindeki ortam değişkenlerinde saklamaktadır. Streamlit birden fazla eşzamanlı kullanıcıya tek bir Python sürecinden hizmet verdiğinden, bir kullanıcı tarafından sağlanan kimlik bilgileri sonraki kimliği doğrulanmamış kullanıcılar tarafından erişilebilir durumda kalmaktadır. Bir saldırgan bu sorunu istismar ederek GitHub Personal Access Token'ları veya LLM API anahtarları gibi hassas bilgileri elde edebilir; bu da özel kaynaklara yetkisiz erişime ve mali suiistimale yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| theunwindai awesome_llm_apps | 2026-01-19 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.