CVE-2026-33057
Açıklama
Mesop, kullanıcıların web uygulamaları oluşturmasına olanak tanıyan Python tabanlı bir UI çerçevesidir. 1.2.2 ve altı sürümlerde, ai/ test modülü altyapısı içindeki açık bir web uç noktası, kimlik doğrulama önlemleri olmaksızın güvenilmeyen Python kodu dizelerini koşulsuz olarak doğrudan alır ve bu durum standart Kısıtlanmamış Uzaktan Kod Çalıştırmaya yol açar. HTTP mantığını bu sunucu bloğuna yönlendirebilen herhangi bir kişi, ana makine üzerinde açık komut hakları elde edecektir. AI kod tabanı paketi, ai/sandbox/wsgi_app.py içinde hafif bir hata ayıklama Flask sunucusu içerir. /exec-py rotası, temel bir POST web isteği tarafından doğal olarak değerlendirilen code parametresi içindeki base_64 kodlu ham dize yüklerini kabul eder. Bunu hızla işletim sistemi mantık yoluna kaydeder ve execute_module(module_path...) kullanarak özyinelemeli olarak enjekte eder. Bu sorun 1.2.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- mesop-dev mesop1.2.3 ya da sonraki bir sürüm
- mesop1.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mesop-dev mesop | v < 1.2.3 | 1.2.3 |
| mesopPyPI | v < 1.2.3 | 1.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.