CVE-2026-2472
Cross-Site Scripting المخزّن (XSS) في تصور Vertex AI Python SDK
- تم النشر
- 20/02/2026
- محدث
- 15/07/2026
- تخصيص CNA
- GoogleCloud
- الأدلة المرصودة
- 07/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Amberمنخفض · الثلاثين يومًا القادمة
- المئوية
- 45.0%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
ثغرة البرمجة النصية عبر المواقع المخزنة (Stored XSS) في مكوّن _genai/_evals_visualization من Google Cloud Vertex AI SDK (google-cloud-aiplatform) في الإصدارات من 1.98.0 حتى (وليس بما في ذلك) 1.131.0 تسمح لمهاجم عن بُعد غير مصادَق بتنفيذ كود JavaScript تعسفي في بيئة Jupyter أو Colab الخاصة بالضحية، وذلك عبر حقن تسلسلات هروب برمجية في نتائج تقييم النموذج أو بيانات JSON الخاصة بمجموعة البيانات.
المصادر
إثبات مفهوم تقني لـ CVE-2026-2472 (GCP-2026-011): ثغرة برمجة نصية عبر المواقع (XSS) مخزنة وبدون مصادقة في google-cloud-aiplatform _genai/_evals_visualization (Vertex AI Python SDK) تؤثر على Jupyter/Colab.
كشف وشرح بالتفصيل ثغرة XSS مخزنة غير مصادق عليها في حزمة تطوير Python الخاصة بـ Google Cloud Vertex AI، والتي تؤثر على الإصدارات من 1.98.0 إلى 1.130.9.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.