CVE-2025-11844

सारांश

Hugging Face Smolagents संस्करण 1.20.0 में src/smolagents/vision_web_browser.py में स्थित search_item_ctrl_f फ़ंक्शन में एक XPath इंजेक्शन भेद्यता मौजूद है। यह फ़ंक्शन उपयोगकर्ता द्वारा प्रदान किए गए इनपुट को उचित सैनिटाइज़ेशन या एस्केपिंग के बिना सीधे XPath एक्सप्रेशन में जोड़कर एक XPath क्वेरी बनाता है। यह एक हमलावर को दुर्भावनापूर्ण XPath सिंटैक्स इंजेक्ट करने की अनुमति देता है जो इच्छित क्वेरी तर्क को बदल सकता है। यह भेद्यता हमलावरों को खोज फ़िल्टर को बायपास करने, अनपेक्षित DOM तत्वों तक पहुँचने और वेब ऑटोमेशन वर्कफ़्लो को बाधित करने में सक्षम बनाती है। इससे सूचना का खुलासा, AI एजेंट इंटरैक्शन में हेरफेर और स्वचालित वेब कार्यों की विश्वसनीयता से समझौता हो सकता है। यह समस्या संस्करण 1.22.0 में ठीक कर दी गई है।

• CVE-2025-11844-smolagentsPoC

  शैक्षणिक सैंडबॉक्स और हगिंग फेस smolagents लाइब्रेरी में CVE-2025-11844 XPath इंजेक्शन के लिए गतिशील प्रूफ-ऑफ-कॉन्सेप्ट स्कैनर, जो स्थानीय डेटा निष्कर्षण और DOM ट्रैवर्सल ऑडिटिंग को सक्षम बनाता है।