CVE-2026-34172 in giskard-oss
Tóm tắt
Bởi VulDB • 06/06/2026
Giskard là một thư viện Python mã nguồn mở để kiểm tra và đánh giá các hệ thống agentic. Trước các phiên bản 0.3.4 và 1.0.2b1, phương thức ChatWorkflow.chat(message) truyền đối số chuỗi của nó trực tiếp dưới dạng nguồn mẫu Jinja2 sang một Environment không được cách ly (non-sandboxed). Một nhà phát triển truyền đầu vào của người dùng vào phương thức này sẽ cho phép thực thi mã từ xa hoàn toàn (RCE) thông qua việc duyệt qua các lớp (class traversal) của Jinja2. Tên phương thức chat và tên tham số message tự nhiên khuyến khích việc truyền trực tiếp đầu vào của người dùng, nhưng chuỗi được phân tích ngầm dưới dạng mẫu Jinja2 chứ không được xử lý như văn bản thuần túy. Vấn đề này đã được vá trong các phiên bản 0.3.4 và 1.0.2b1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.