ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تحتوي Agno حتى النسخة 3.1.11 على ثغرة انعكاس غير آمن في PandasTools تسمح للمهاجمين باستدعاء دالات pandas عشوائية عن طريق توفير أسماء دالات يتحكم فيها النموذج إلى الدالة getattr(). يمكن للمهاجمين استخدام حقن التوجيه لجعل الوكيل يستدعي pandas.read_pickle على مسارات يتحكم فيها المهاجم لتنفيذ شيفرة، أو استدعاء قارئات أخرى لقراءة ملفات محلية.
المعالجة
المراجع
- تحذيرhttps://www.vulncheck.com/advisories/agno-through-3.1.11-code-execution-via-pandastools-unsafe-reflection
- مرجعhttps://github.com/agno-agi/agno
- مرجعhttps://github.com/agno-agi/agno/blob/d9ab0a758286142e7d998ef313ee7504d7fd9453/libs/agno/agno/tools/pandas.py#L54
- مرجعhttps://github.com/agno-agi/agno/blob/d9ab0a758286142e7d998ef313ee7504d7fd9453/libs/agno/agno/tools/pandas.py#L90
- مرجعhttps://github.com/agno-agi/agno/issues/8699