sparshbiswas-ai/cve-2025-11844-smolagentsHugging Face smolagents 라이브러리의 CVE-2025-11844 XPath 인젝션을 위한 교육용 샌드박스 및 동적 개념 증명(PoC) 스캐너로, 로컬 데이터 추출 및 DOM 순회 감사를 가능하게 합니다.
Hugging Face의 smolagents 라이브러리(버전 1.2.0까지)에서 발견된 XPath 주입 취약점을 시연하는 교육용 감사 샌드박스이자 동적 개념 증명 스캐너입니다.
| 지표 | 세부 정보 |
|---|---|
| CVE ID | CVE-2025-11844 |
| 대상 구성 요소 | vision_web_browser.py 내부의 search_item_ctrl_f 함수 |
| 취약점 유형 | 부적절한 입력 검증 -> XPath 주입 / DOM 탈출 |
| 영향 범위 | 로컬 데이터 추출, 정보 노출, 임의 DOM 순회 |
대상 프레임워크는 내부 XPath 쿼리 함수에 정제되지 않은 문자열을 직접 사용합니다:
//*[contains(text(), 'USER_INPUT_HERE')]