CVE-2026-73678 in Minds Platform
الملخص
بحسب VulDB • 14/08/2026
تحتوي منصة MindsDB Minds الإصدار 26.1.0 والإصدارات الأقدم على ثغرة تنفيذ كود عن بُعد غير مصادق عليها (unauthenticated RCE)، تتيح للمهاجمين غير المصادق عليهم تنفيذ أوامر نظام تشغيل تعسفية من خلال إرسال مطالبات مُعدّة بعناية إلى نقطة النهاية `/api/v1/responses/` التي لا توفر حماية كافية، والتي تصل إلى أداة "scratchpad" الخاصة بوكيل Anton الذي يستدعي دالة `exec()` على مصدر بايثون يتأثر بالمهاجم دون استخدام بيئة معزولة (sandboxing). يمكن للمهاجمين أولاً تكوين مفتاح واجهة برمجة تطبيقات للذكاء الاصطناعي التوليدي الخاص بهم عبر نقطة النهاية غير المحمية `/api/v1/settings/` باستخدام طريقة PUT، ثم إرسال طلب POST يحتوي على مطالبة توجه الوكيل لاستدعاء أداة "scratchpad" بكود بايثون تعسفي، مما يحقق تنفيذًا كاملاً لأوامر نظام التشغيل بصفت المستخدم الذي يشغل تطبيق سطح المكتب، ويُمكّن من الوصول إلى مفاتيح SSH، والبيانات الاعتمادية المخزنة، والأسرار البيئية.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.