PT-2025-12230 · Unknown · Modelscope/Agentscope

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-8487

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas modelscope/agentscope versão v0.0.4

Descrição Existe um problema de Compartilhamento de Recursos entre Origens (Cross-Origin Resource Sharing - CORS), no qual a configuração de CORS no servidor agentscope não restringe adequadamente o acesso apenas a origens confiáveis, permitindo que qualquer domínio externo faça requisições à API. Isso pode resultar em acesso não autorizado a dados, divulgação de informações e potencial exploração adicional, comprometendo assim a integridade e a confidencialidade do sistema.

Recomendações Para modelscope/agentscope versão v0.0.4, considere restringir o acesso à API configurando adequadamente as definições de CORS para permitir apenas requisições de origens confiáveis até que uma correção (patch) esteja disponível. Como solução temporária, restrinja o acesso à API para minimizar o risco de exploração.

Exploit

Correção

Origin Validation Error

Enumeração de Fraquezas

CWE-346

Identificadores relacionados

CVE-2024-8487

GHSA-75V5-6885-59F9

PYSEC-2025-81

Produtos afetados

Modelscope/Agentscope

Referências · 9

• 🔥 https://huntr.com/bounties/7aca7507-a94e-4e63-83a2-15648e5c4067 · Exploit
• https://github.com/modelscope/agentscope · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/agentscope/PYSEC-2025-81.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2025-81 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-8487 · Nota de Segurança
• https://twitter.com/CVEnew/status/1902670984613961917 · Publicação no Twitter
• https://t.me/cvenotify/115467 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-75v5-6885-59f9 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-8487 · Aviso do Fabricante