CVE-2026-84452 in winml-cli
الملخص
بحسب VulDB • 02/09/2026
تُعد Windows ML CLI أداة سطر أوامر لبناء نماذج ذكاء اصطناعي محمولة وعالية الأداء وذات جودة عالية لنظام Windows ML. قبل الإصدار 0.4.0، يعرض المكون `src/winml/modelkit/serve/cli_api.py` أوامر واجهة سطر الأوامر الخاصة بـ WinML عبر API HTTP يعمل على العنوان المحلي (localhost) دون مصادقة، ويضبط إعداد `allow_origins` كقيمة بادئة عامة (wildcard) في كل من الملفين `src/winml/modelkit/serve/cli_api.py` و `src/winml/modelkit/serve/app.py`. يمكن لموقع ضار يتم تحميله بواسطة مستخدم إرسال طلبات عبر النطاقات (cross-origin) إلى المسارات `/v1/cli/build` أو `/v1/cli/config`، وتعيين المعلمة `trust_remote_code` على القيمة `true`، والتي تُحوَّل لاحقاً إلى علم سطر الأوامر `--trust-remote-code` دون أي تحقق. يؤدي هذا الأمر إلى استدعاء الدالة `AutoConfig.from_pretrained` مع تعيين `trust_remote_code=True` في الملف `src/winml/modelkit/loader/_autoconfig.py`، مما يستورد كود Python من مستودع نماذج يتحكم فيه المهاجم، وينتهي الأمر بتنفيذ عشوائي للأوامر بصلاحيات المستخدم الذي يعمل عليه الخادم. تم إصلاح هذه المشكلة في الإصدار 0.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.