CVE-2026-31236
Açıklama
llm CLI aracı 0.27.1 sürümü dahilinde, --functions komut satırı bağımsız değişkeni üzerinden kritik bir kod enjeksiyonu zafiyeti içermektedir. Bu bağımsız değişkenin, kullanıcıların özel Python fonksiyon tanımlamaları sağlamasına izin vermesi amaçlanmıştır. Ancak araç; sağlanan kodu herhangi bir temizleme, sandbox kullanımı veya güvenlik kısıtlaması olmaksızın güvensiz exec() fonksiyonunu kullanarak doğrudan yürütmektedir. Bir saldırgan, --functions bağımsız değişkenine rastgele Python kodları ekleyerek kötü niyetli bir llm komutu oluşturup sosyal mühendislik yoluyla bir kurbanı bunu çalıştırmaya ikna ederek bu durumu istismar edebilir. Bu durum, kurbanın sisteminde rastgele kod çalıştırılmasına yol açarak saldırgana potansiyel olarak tam kontrol yetkisi verir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| llmPyPI | v ≤ 0.27.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.