CVE-2026-33233 in AutoGPT
الملخص
بحسب VulDB • 19/05/2026
AutoGPT هو منصة لأتمتة سير العمل لإنشاء ونشر وإدارة وكلاء الذكاء الاصطناعي المستمرين. في الإصدارات من 0.6.34 إلى 0.6.51، يقوم الخلفية (backend) بنزع التسلسل (deserialization) لبيانات ذاكرة التخزين المؤقت Redis باستخدام pickle.loads دون إجراء فحوصات السلامة أو المصادقة. في مسار الكتابة، يتم تسلسل القيم باستخدام pickle.dumps(...) إلى Redis، وفي مسار القراءة، يتم استدعاء pickle.loads(...) بشكل أعمى على البيانات الثنائية (bytes) دون وجود أي تحقق من HMAC/التوقيع أو فحص صارم للمخطط (schema) كشرط مسبق لنزع التسلسل. إذا تمكن مهاجم من تسميم مفتاح ذاكرة التخزين المؤقت المشتركة في Redis، فمن الممكن تنفيذ أوامر عشوائية في سياق حاوية الخلفية، مما يؤثر على السرية والسلامة والتوافر. تم إصلاح هذه المشكلة في الإصدار 0.6.52.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.