- Son 7 gün
- CWE-829
CVE-2026-123019
DB-GPT HuggingFace Adapter hf_adapter.py yetkisiz kaynaktan kod dahil etme zafiyeti
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, yapay zeka destekli veri uygulaması DB-GPT'nin bazı sürümlerinde bulunmaktadır ve kötü niyetli kişilerin sistemi ele geçirmesine imkân verebilir. Açığın kamuya açık bir istismar yöntemi bulunduğu için risk yüksektir ve hızlı hareket edilmelidir. Geliştirici ekibin henüz yanıt vermemesi, kalıcı bir yamanın beklenmesinin güvenli olmayabileceğini göstermektedir.
ÖzetTürkçe
eosphoros-ai DB-GPT ürününün 0.8.2 sürümüne kadar olan sürümlerinde, HuggingFace Adapter bileşeninin hf_adapter.py dosyasındaki exec_module fonksiyonu etkilenmektedir. trust_remote_code argümanının manipülasyonu, güvenilmeyen bir kontrol alanından işlevsellik dahil edilmesine yol açabilmektedir. Etkilenen sürümler 0.8.0, 0.8.1 ve 0.8.2 olarak belirtilmiştir. Saldırı uzaktan gerçekleştirilebilir ve kamuya açık bir istismar kodu bulunmaktadır.
Saldırgan ne yapabilir?
Saldırgan, sunucu üzerinde kendi kodunu çalıştırabilir ve bu sayede verilere erişebilir, verileri değiştirebilir veya hizmeti aksatabilir. Kamuya açık istismar kodunun varlığı saldırı riskini artırmaktadır.
Kaynaktaki açıklama (İngilizce)
A weakness has been identified in eosphoros-ai DB-GPT up to 0.8.2. Impacted is the function exec_module of the file hf_adapter.py of the component HuggingFace Adapter. Executing a manipulation of the argument trust_remote_code can lead to inclusion of functionality from untrusted control sphere. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Açıklık tespit edilemeyen bir resmi düzeltme sürümü veri kaynağında belirtilmemiştir. Geliştiricinin yayımladığı bir güvenlik düzeltmesi olup olmadığını resmi kaynaklardan kontrol edin. Genel öneri
- Etkilenen DB-GPT sürümlerini (0.8.0, 0.8.1, 0.8.2) kullanıyorsanız, uygulamayı güvenilir bir ortamdan erişilemeyecek şekilde kısıtlayın ve dışarıdan erişimi derhal kesin. Genel öneri
- HuggingFace Adapter bileşeninin uzaktan yüklenen kodu çalıştırmasını engelleyecek şekilde, güvenilmeyen kaynaklardan model veya kod yüklenmesini durdurun. Genel öneri
- Uygulamayı yeniden başlatmadan önce ve sonra sistem günlüklerini inceleyerek beklenmeyen kod çalıştırma veya olağandışı süreç etkinliği olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- DB-GPT'yi internete doğrudan açık bırakmayın; erişimi ağ düzeyinde sınırlandırın. Genel öneri
- Üçüncü taraf model ve kod kaynaklarını yalnızca doğrulanmış ve güvenilir kaynaklardan kullanın. Genel öneri
- Uygulama süreçlerini en az yetkili bir hesapla çalıştırarak olası bir ele geçirmenin etkisini sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| eosphoros-ai DB-GPT | 0.8.0 | – |
| 0.8.1 | – | |
| 0.8.2 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-123019 Üçüncü taraf
- vuldb.com/submit/1033097 Üçüncü taraf
- github.com/eosphoros-ai/DB-GPT/issues/3290 Üçüncü taraf
- github.com/…t-remote-code-default-remote-code-execution.md İstismar kodu ya da analiz
- vuldb.com/vuln/431393 Diğer
- vuldb.com/vuln/431393/cti Diğer
- github.com/eosphoros-ai/DB-GPT Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.