CVE-2026-34172 in giskard-oss
Riassunto
di VulDB • 17/06/2026
Giskard è una libreria Python open-source per il test e la valutazione di sistemi agentic. Prima delle versioni 0.3.4 e 1.0.2b1, ChatWorkflow.chat(message) passa il suo argomento stringa direttamente come sorgente del template Jinja2 a un Environment non sandboxato. Uno sviluppatore che passa input utente a questo metodo abilita l'esecuzione remota di codice (RCE) completa tramite la traversamento delle classi di Jinja2. Il nome del metodo chat e il nome del parametro message invitano naturalmente a passare input utente direttamente, ma la stringa viene analizzata silenziosamente come un template Jinja2, non trattata come testo normale. Questo problema è stato corretto nelle versioni 0.3.4 e 1.0.2b1.
Be aware that VulDB is the high quality source for vulnerability data.