CVE-2026-73678

ملخص

# ثغرة تنفيذ التعليمات البرمجية عن بُعد غير مصادق عليها في MindsDB Minds Platform يحتوي الإصدار 26.1.0 وما قبله من MindsDB Minds Platform على ثغرة تنفيذ تعليمات برمجية عن بُعد غير مصادق عليها تسمح للمهاجمين غير المصادق عليهم بتنفيذ أوامر نظام تشغيل عشوائية عن طريق إرسال مطالبات (prompts) مصممة بعناية إلى نقطة النهاية غير المحمية `POST /api/v1/responses/`، والتي تصل إلى أداة scratchpad الخاصة بوكيل Anton والتي تستدعي دالة `exec()` على كود Python متأثر بالمهاجم دون أي عزل (sandboxing). يمكن للمهاجمين أولاً تكوين مفتاح API الخاص بنموذج LLM الخاص بهم من خلال نقطة النهاية غير المصادق عليها `PUT /api/v1/settings/`، ثم إرسال طلب POST يتضمن مطالبة توجّه الوكيل لاستدعاء أداة scratchpad مع كود Python عشوائي، مما يحقق تنفيذ أوامر نظام تشغيل كامل بصلاحيات المستخدم الذي يشغّل تطبيق سطح المكتب، ويتيح الوصول إلى مفاتيح SSH وبيانات الاعتماد المخزنة وأسرار البيئة.

• bring-your-own-key-cve-2026-73678-unauthenticated-rce-in-mindsdb-coworkاستغلال

  استغلال إثبات المفهوم (PoC) لثغرة CVE-2026-73678: تنفيذ تعليمات برمجية عن بُعد (RCE) بدون مصادقة في MindsDB Cowork عبر مفتاح LLM يوفره المهاجم وتنفيذ أوامر (exec) في ساحة العمل المؤقتة (Scratchpad) غير المعزولة (unsandboxed) لتشغيل أوامر نظام التشغيل.

• CVE-2026-73678-PoCPoC

  CVE-2026-73678 — منصة MindsDB Minds ثغرة تنفيذ تعسفي للكود عن بُعد (RCE) بدون مصادقة عبر scratchpad exec (CVSS 10.0). تم التحقق منها من البداية إلى النهاية باستخدام LLM حقيقي.