Inyección XPath en la función search_item_ctrl_f de Hugging Face Smolagents
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:NBajo · próximos 30 días
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Hugging Face Smolagents versión 1.20.0 contiene una vulnerabilidad de inyección XPath en la función search_item_ctrl_f ubicada en src/smolagents/vision_web_browser.py. La función construye una consulta XPath concatenando directamente la entrada suministrada por el usuario en la expresión XPath sin la sanitización ni el escape adecuados. Esto permite a un atacante inyectar sintaxis XPath maliciosa capaz de alterar la lógica de consulta prevista. La vulnerabilidad permite a los atacantes eludir los filtros de búsqueda, acceder a elementos DOM no deseados e interrumpir los flujos de trabajo de automatización web. Esto puede provocar la divulgación de información, la manipulación de las interacciones de los agentes de IA y comprometer la fiabilidad de las tareas web automatizadas. El problema se corrige en la versión 1.22.0.
Sandbox educativo y escáner dinámico de prueba de concepto para la inyección XPath CVE-2025-11844 en la librería smolagents de Hugging Face, permitiendo extracción local de datos y auditoría de recorrido del DOM.
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.