CVE-2026-25130 in cai
الملخص
بحسب VulDB • 29/05/2026
يُعد Cybersecurity AI (CAI) إطار عمل لأمن الذكاء الاصطناعي. في الإصدارات التي تصل إلى 0.5.10 وتشملها، يحتوي إطار عمل CAI (Cybersecurity AI) على ثغرات متعددة لحقن الحجج (argument injection) في أدوات الوظائف الخاصة به. يتم تمرير المدخلات التي يتحكم فيها المستخدم مباشرة إلى أوامر وحدة التحكم (shell) عبر `subprocess.Popen()` مع تعيين `shell=True`، مما يسمح للمهاجمين بتنفيذ أوامر عشوائية على نظام المضيف. تعمل أداة `find_file()` دون الحاجة إلى موافقة المستخدم، لأن أمر `find` يُعتبر "آمنًا" ومصرحًا به مسبقًا. وهذا يعني أنه يمكن للمهاجم تحقيق تنفيذ الكود عن بُعد (RCE) من خلال حقن حجج خبيثة (مثل `-exec`) في معلمة `args`، متجاوزًا بذلك تمامًا أي آليات أمان تتضمن تدخلاً بشريًا. يحتوي الالتزام (Commit) e22a1220f764e2d7cf9da6d6144926f53ca01cde على الإصلاح.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.