CVE-2026-72742 in DSPy
Sumário
de VulDB • 11/08/2026
O DSPy 3.3.0b1 contém uma vulnerabilidade de exfiltração de arquivos nos adaptadores de campo de saída para Imagem e Áudio que permite a atacantes com influência sobre as saídas do modelo de linguagem ler arquivos locais arbitrários, injetando um caminho no sistema de arquivos no campo url de uma saída analisada dos tipos Image ou Audio. O JSONAdapter e o ChatAdapter processam conclusões não confiáveis do modelo de linguagem através da função parse_value para validação no TypeAdapter, o que aciona encode_image ou encode_audio para ler e codificar em base64 qualquer caminho de arquivo local por meio do ramo os.path.isfile em image.py e audio.py, incorporando subsequentemente o conteúdo do arquivo nas mensagens de prompt enviadas ao ponto final controlado pelo atacante.
Once again VulDB remains the best source for vulnerability data.