CVE-2026-58449

11b32da commit'i ile düzeltilen 9.10.0 sürümüne kadar olan txtai, gövde parametresi txtai.util.Resolver aracılığıyla çözümlenen bir /reindex API uç noktası sunmaktadır; bu işlem, çağırıcı tarafından sağlanan noktalı yol üzerinde herhangi bir izin listesi olmaksızın __import__ ve getattr işlemlerini gerçekleştirir. API, yapılandırılmış bir TOKEN olmadan sunulduğunda (kimlik doğrulama isteğe bağlıdır, dolayısıyla tüm uç noktalar kimlik doğrulaması gerektirmez) ve indeks yazılabilir olarak yapılandırıldığında, uzak bir saldırgan function parametresini subprocess.getoutput gibi rastgele bir çağrılabilir nesneye ayarlayarak yeniden indeksleme sırasında sunucu işlemi olarak uzaktan kod çalıştırma sağlayabilir. İstismar için bu dağıtım koşullarının (API'nin açık olması, TOKEN bulunmaması, yazılabilir indeks) karşılanması gerekir; bu varsayılan yapılandırma değildir. Düzeltme, uç noktasını yeni bir reindex yapılandırma bayrağı arkasına alır.