Më 27 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-m4w4-3r8h-jw98 (CVE-2026-35002) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën agno të ekosistemit PyPI.
Paketat e prekura
- agno (PyPI) — versionet e prekura:
< 2.3.24; versioni me rregullim:2.3.24
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-95 (Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection'))
- Identifikuesit: GHSA-m4w4-3r8h-jw98, CVE-2026-35002
Përmbledhja zyrtare
Agno: Ekzekutim arbitrar kodi përmes `eval()` mbi `field_type` në `FunctionCall`
Versionet e Agno para 2.3.24 përmbajnë një cenueshmëri në komponentin e ekzekutimit të modelit, e cila mundëson ekzekutimin arbitrar të kodit. Problemi lidhet me përpunimin e parametrit `field_type` në një fushë hyrëse të `FunctionCall`.
Vlera e këtij parametri i kalohej funksionit të integruar `eval()` të Python. Një sulmues që mund të ndikonte në këtë vlerë mund të ekzekutonte kod arbitrar Python brenda procesit të Agno.
Dobësia klasifikohet si injektim kodi (CWE-95), me ndikim të plotë në konfidencialitetin, integritetin dhe disponueshmërinë. Ajo ka marrë vlerësimin 9.3 sipas CVSS 3.1, me nivel rreziku kritik.
Rreziku lidhet me instalimet që e ekspozojnë Agno ndaj hyrjeve `FunctionCall`, vlerat e të cilave mund të ndikohen nga përdoruesit.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin agno, përditësojeni sa më shpejt në versionin 2.3.24 ose më të ri.
