CVE-2026-75062
KrytyczneCVSS 9.2Streszczenie
Niewłaściwa neutralizacja dyrektyw w dynamicznie ewaluowanym kodzie (Eval Injection) w domyślnym protokole lf.query Python w Google langfun w wersjach wcześniejszych niż 0.1.2 pozwala zdalnym nieuwierzytelnionym atakującym na wykonanie dowolnego kodu Pythona w kontekście aplikacji hosta poprzez spreparowane dane wejściowe promptu, które powodują, że model generuje wykonywalne wyrażenia Pythona ewaluowane bez sandboxa.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod w kontekście aplikacji, co może prowadzić do przejęcia danych, naruszenia integralności systemu lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Google langfun do wersji 0.1.2 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') in the default lf.query Python protocol in Google langfun versions prior to 0.1.2 allows remote unauthenticated attackers to execute arbitrary Python code in the context of the host application via crafted prompt inputs that cause the model to generate executable Python expressions evaluated without a sandbox.