CVE-2026-26030
Microsoft Semantic Kernel InMemoryVectorStore funzionalità di filtro vulnerabile all'esecuzione remota di codice
- Pubblicato
- 19 feb 2026
- Aggiornato
- 26 feb 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 25 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 89,8%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Semantic Kernel, l'SDK Python del kernel semantico di Microsoft, presenta una vulnerabilità di esecuzione remota di codice nelle versioni precedenti alla 1.39.4, in particolare nella funzionalità di filtro `InMemoryVectorStore`. Il problema è stato risolto nella versione `python-1.39.4`. Gli utenti dovrebbero aggiornare a questa versione o a una successiva. Come soluzione alternativa, evitare di utilizzare `InMemoryVectorStore` in scenari di produzione.
Fonti
Lab Docker etico e isolato dalla rete che riproduce CVE-2026-26030 — RCE tramite eval() nel filtro del vector store in-memory di Semantic Kernel (corretto nella versione 1.39.4)
Proof-of-concept exploit per CVE-2026-26030, che dimostra l'esecuzione remota di codice tramite espressioni di filtro non sicure in InMemoryVectorStore di Microsoft Semantic Kernel.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.