CVE-2026-43979

Orta

Açıklama

Local Deep Research, derin ve yinelemeli araştırma için yapay zeka destekli bir araştırma asistanıdır. 1.6.0 sürümünden önce, PDFService._markdown_to_html() kullanıcı kontrollü değerleri — özellikle title (research.title veya research.query kaynaklı) ve metadata anahtar-değer çiftlerini — herhangi bir HTML kaçışı yapmadan doğrudan bir f-string içine yerleştirerek bir HTML belgesi oluşturuyordu. Kimliği doğrulanmış bir saldırgan, HTML özel karakterleri içeren bir araştırma sorgusu hazırlayarak PDF dışa aktarımı sırasında WeasyPrint tarafından işlenen belgeye rastgele HTML etiketleri enjekte edebilir. Bu enjeksiyon, ssrf_validator.py içindeki mevcut SSRF savunmalarını atlatarak Sunucu Tarafı İstek Sahteciliği (SSRF) tetiklemek için zincirlenebilir. Bu güvenlik açığı 1.6.0 sürümünde giderilmiştir.

ÖnemOrta

CVSS5.0

İstismar olasılığı—

ÜrünLocal-deep-research

Yayın28 May 2026

İlk görülme28 May 2026

Zayıflık türüCWE-79Siteler arası betik (XSS)CWE-918Sunucu taraflı istek sahteciliği (SSRF)

Nasıl düzeltilir

Güncelleyin

local-deep-research1.6.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
local-deep-researchPyPI	v < 1.6.0	1.6.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.