- Son 7 gün
- CWE-74
- CWE-94
CVE-2026-123675
OpenBMB Internet of Agents Code Executor aracında kod enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, saldırganların sisteme internet üzerinden müdahale etmesine olanak tanıdığı için yüksek risklidir ve acil ilgi gerektirir. Geliştirici henüz yanıt vermediğinden resmi bir düzeltme bulunmamaktadır. Bu nedenle etkilenen sistemlerde geçici önlemlerin hemen alınması önerilir.
ÖzetTürkçe
OpenBMB Internet of Agents ürününün Code Executor Tool bileşenindeki execute_code fonksiyonunda filename ve lang argümanlarının manipüle edilmesi kod enjeksiyonuna yol açmaktadır. Açık, commit 9d78e88e47160eb42ee1ee8538c05e1c2c47877a ve öncesindeki sürümleri etkilemektedir. Saldırı uzaktan başlatılabilir ve kullanıma hazır bir istismar kodu yayımlanmıştır. Proje sorunu bir issue bildirimiyle erken almış olsa da henüz yanıt vermemiştir.
Saldırgan ne yapabilir?
Saldırgan, uygulamanın çalıştığı sunucuda kendi kodunu çalıştırabilir; bu da dosyalara ve verilere erişim, değişiklik yapma ve hizmeti aksatma riskini doğurur.
Kaynaktaki açıklama (İngilizce)
A flaw has been found in OpenBMB Internet of Agents up to 9d78e88e47160eb42ee1ee8538c05e1c2c47877a. This affects the function execute_code of the file im_client/agents/tools/code_executor.py of the component Code Executor Tool. This manipulation of the argument filename/lang causes code injection. The attack can be initiated remotely. The exploit has been published and may be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Resmi bir düzeltme veya sürüm bilgisi bulunmadığı için, mümkünse Code Executor Tool özelliğini devre dışı bırakarak bu bileşenin kullanımını durdurun. Genel öneri
- Uygulamaya ait servise yalnızca güvenilen ağlardan erişime izin verin; internet üzerinden doğrudan erişimi güvenlik duvarında engelleyin. Genel öneri
- Kod çalıştıran servisi ayrı bir sanal makine veya konteyner içinde, en az yetkiyle ve sınırlı dosya sistemi erişimiyle çalıştırın. Genel öneri
- Geliştirici bir düzeltme yayımlayana kadar proje deposundaki değişiklikleri takip edin ve düzeltme çıktığında hemen uygulayın. Genel öneri
Ek önlemler
- Uygulama günlüklerinde filename ve lang alanlarındaki olağandışı değerleri ve beklenmeyen süreç başlatma olaylarını izleyin. Genel öneri
- Kod çalıştırma araçlarına gelen girdileri yalnızca izin verilen değerlerle sınırlayan beyaz liste doğrulaması uygulayın. Genel öneri
- Ürünü yalnızca kimlik doğrulaması yapılan ve iç ağdan erişilen bir ortamda kullanın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| OpenBMB Internet of Agents | 9d78e88e47160eb42ee1ee8538c05e1c2c47877a | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-123675 Üçüncü taraf
- vuldb.com/submit/1033599 Üçüncü taraf
- github.com/OpenBMB/IoA/issues/18 İstismar kodu ya da analiz
- vuldb.com/vuln/431792 Diğer
- vuldb.com/vuln/431792/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.