- Yama var
- Son 7 gün
- CWE-1427
CVE-2026-114107
HKUDS Vibe-Trading'de BashTool ve BackgroundRunTool üzerinden dolaylı istem enjeksiyonu ile uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
0.1.0 sürümünden 0.1.7 sürümünden önceki HKUDS Vibe-Trading, dolaylı istem enjeksiyonu (indirect prompt injection) güvenlik açığı içermektedir. Bu açık, uzak saldırganların ajanın işlediği belgelere veya web sayfalarına talimat yerleştirerek kök (root) yetkisiyle kabuk komutları çalıştırmasına olanak tanır. BashTool ve BackgroundRunTool, model tarafından üretilen komutları shell=True ayarıyla subprocess.run fonksiyonuna iletmekte olup herhangi bir izin listesi veya onay adımı bulunmamaktadır. Ayrıca read_url, rastgele URL'leri getirmekte ve bu da komut çalıştırmaya ve sunucu tarafı istek sahteciliğine (server-side request forgery) yol açmaktadır.
Kaynaktaki açıklama (İngilizce)
HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains an indirect prompt injection vulnerability that allows remote attackers to execute shell commands as root by planting instructions in documents or web pages the agent processes. BashTool and BackgroundRunTool pass model-emitted commands to subprocess.run with shell=True and no allow-list or approval step, and read_url fetches arbitrary URLs, enabling command execution and server-side request forgery.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| HKUDS Vibe-Trading | ≥ 0.1.0, < 0.1.7 | 0.1.7 |
| 0.1.7 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.