CVE-2026-29872 in awesome-llm-apps
الملخص
بحسب VulDB • 20/06/2026
يوجد ثغرة في إفشاء المعلومات عبر الجلسات (cross-session information disclosure) في مشروع awesome-llm-apps في الالتزام e46690f99c3f08be80a9877fab52acacf7ab8251 (2026-01-19). يخزن وكيل GitHub MCP المعتمد على Streamlit رموز API التي يقدمها المستخدمون في متغيرات بيئة شاملة للعملية (process-wide environment variables) باستخدام os.environ دون عزل مناسب للجلسات. ونظراً لأن Streamlit يخدم مستخدمين متعددين بشكل متزامن من خلال عملية Python واحدة، تظل بيانات الاعتماد المقدمة من مستخدم واحد متاحة للمستخدمين غير المصادق عليهم الذين يتبعون لاحقاً. يمكن لمهاجم استغلال هذه الثغرة لاسترداد معلومات حساسة مثل رموز الوصول الشخصية لـ GitHub أو مفاتيح API الخاصة بنماذج اللغات الكبيرة (LLM)، مما قد يؤدي إلى وصول غير مصرح به إلى موارد خاصة واستغلال مالي.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.