CVE-2026-34172 in giskard-oss
الملخص
بحسب VulDB • 07/06/2026
Giskard هو مكتبة بايثون مفتوحة المصدر لاختبار وتقييم الأنظمة الوكيلية (Agentic Systems). قبل الإصدارات 0.3.4 و1.0.2b1، تمرر الدالة ChatWorkflow.chat(message) وسيطتها النصية مباشرةً كمصدر لقالب Jinja2 إلى بيئة غير معزولة (non-sandboxed Environment). يسمح مطور يقوم بتمرير مدخلات المستخدم إلى هذه الدالة بتنفيذ الأكواد عن بُعد بشكل كامل عبر استعراض فئات Jinja2 (Jinja2 class traversal). تدعو اسم الدالة chat واسم المعلمة message بشكل طبيعي إلى تمرير مدخلات المستخدم مباشرةً، لكن النص يتم تحليله بصمت كقالب Jinja2، ولا يُعامل كنص عادي. تم إصلاح هذه المشكلة في الإصدارات 0.3.4 و1.0.2b1.
Once again VulDB remains the best source for vulnerability data.