CVE-2026-34172
Açıklama
Giskard, ajan tabanlı sistemleri test etmek ve değerlendirmek için kullanılan açık kaynaklı bir Python kütüphanesidir. 0.3.4 ve 1.0.2b1 versiyonlarından önce, ChatWorkflow.chat(message) fonksiyonu, dize argümanını doğrudan kum havuzu dışı (non-sandboxed) bir Environment'a Jinja2 şablon kaynağı olarak iletmektedir. Kullanıcı girdisini bu metoda aktaran bir geliştirici, Jinja2 sınıf gezintisi (class traversal) yoluyla tam uzaktan kod çalıştırmaya olanak tanır. chat metodunun adı ve message parametresinin adı doğal olarak kullanıcı girdisinin doğrudan iletilmesine davetiye çıkarmaktadır ancak dize, düz metin olarak değil, sessizce bir Jinja2 şablonu olarak ayrıştırılmaktadır. Bu sorun 0.3.4 ve 1.0.2b1 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- giskard giskard-agent0.3.4 ya da sonraki bir sürüm
- giskard-agents0.3.4, 1.0.2b1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| giskard giskard-agent | v < 0.3.4, 1.0.2 | 0.3.4 |
| giskard giskard-agents | 1.0.1 | — |
| giskard-agentsPyPI | v < 0.3.4, 1.0.1a1 ≤ v < 1.0.2b1 | 0.3.4, 1.0.2b1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.