PT-2025-12237 · Unknown · Modelscope/Agentscope

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-8556

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas modelscope/agentscope versão 21161fe

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na visualização para inspeção de informações detalhadas de execução. Isso ocorre porque uma string controlável pelo usuário, o run ID, é anexada e renderizada como HTML, permitindo que um atacante execute código JavaScript arbitrário no contexto do navegador do usuário.

Recomendações Como solução temporária, considere restringir a renderização de strings controláveis pelo usuário como HTML na visualização para inspeção de informações detalhadas de execução até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-8556

GHSA-6MF6-7J75-2M6F

Produtos afetados

Modelscope/Agentscope

Referências · 8

• 🔥 https://huntr.com/bounties/8439f16b-5256-4466-bb7d-371572572a4b · Exploit
• https://github.com/modelscope/agentscope · Nota
• https://github.com/modelscope/agentscope/blob/21161fe9985ee2a2f617180b00a1424b81302d42/src/agentscope/studio/static/js/dashboard.js#L90 · Nota
• https://osv.dev/vulnerability/CVE-2024-8556 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6mf6-7j75-2m6f · Aviso do Fabricante
• https://t.me/cvenotify/115468 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-8556 · Nota de Segurança
• https://twitter.com/CVEnew/status/1902670987310600657 · Publicação no Twitter