Aix-DB 1.2.4'te Yetkisiz Kullanıcıların Uzaktan Komut Çalıştırmasına İzin Veren Açık
Yapay zeka üretimi20.10.2026
- CVE
- CVE-2026-77926
- Ciddiyet
- Yüksek (CVSS 8.8)
- Firma / ürün
- - / -
Özet
Aix-DB 1.2.4 sürümünde, kimliği doğrulanmış ancak yönetici olmayan kullanıcıların, ChatBI ortak ajanının derin ajan yürütme aracını kullanarak işletim sistemi komutları çalıştırmasına olanak tanıyan bir uzaktan kod yürütme açığı bulunuyor.
Ayrıntılar
NVD kaydına göre, Aix-DB 1.2.4 sürümünde uzaktan kod yürütme (RCE) açığı mevcuttur. Yetkilendirilmiş ancak yönetici olmayan kullanıcılar, /dify/get_answer uç noktasına özel sohbet girdileri göndererek ya da kötü amaçlı metin içeren belgeler yükleyerek host komutları çalıştırabilir. Bu durum veri kaynağı kimlik bilgileri ve model API anahtarlarının ifşa olmasına yol açabilir. Açığın ciddiyeti yüksek (cvss puanı 8.8).
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayımlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.