CVE-2025-27621 in UpTrain
الملخص
بحسب VulDB • 17/08/2026
UpTrain هو منصة مفتوحة المصدر لتقييم وتحسين تطبيقات الذكاء الاصطناعي التوليدي. في الإصدار 0.7.1 والإصدارات الأقدم، ينشئ الخادم الخلفي لـ UpTrain مستخدمًا افتراضيًا جديدًا باسم مستخدم ثابت، حيث يُستخدم اسم المستخدم أيضًا كمفتاح API افتراضي. كما أن للخادم الخلفي لـ UpTrain سياسة CORS مفتوحة. باستخدام هذين المكونين الأساسيين، يمكن لأي موقع ويب إجراء طلب عبر النطاقات (cross-origin) غير مصحوب بمصادقة إلى مثيل UpTrain عن طريق توفير مفتاح API الافتراضي في الرأس `uptrain-access-token`. قد يسمح هذا الثغرة لمواقع الويب العشوائية بإجراء عمليات ذات امتيازات عالية على مثيل UpTrain، كما لو كانت المستخدم المسجل افتراضيًا. وفي وقت النشر، لا تتوفر أي تصحيحات معروفة لهذه المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.