WeKnora is an LLM-powered framework designed for deep document understanding and semantic retrieval. Prior to version 0.2.5, there is a command injection vulnerability that allows authenticated users to inject stdio_config.command/args into MCP stdio settings, causing the server to execute subprocesses using these injected values. This issue has been patched in version 0.2.5.
WeKnora versions before 0.2.5 contain a critical command injection vulnerability in MCP stdio settings that allows authenticated users to execute arbitrary commands on the server. This vulnerability affects the framework's document understanding and semantic retrieval capabilities, potentially compromising server integrity and data security.
تمثل ثغرة CVE-2026-22688 خطراً أمنياً بالغ الحدة على المؤسسات التي تستخدم إطار عمل WeKnora من تينسنت لمعالجة المستندات والاسترجاع الدلالي المعتمد على النماذج اللغوية الكبيرة. تنشأ الثغرة من عدم التحقق الكافي من المدخلات في معاملات stdio_config.command وstdio_config.args ضمن إعدادات MCP stdio، حيث يمكن للمهاجمين المصادق عليهم حقن أوامر نظام تشغيل ضارة يتم تنفيذها مباشرة على الخادم. يصنف هذا الضعف تحت CWE-77 (حقن الأوامر) ويحمل درجة خطورة 9.9 على مقياس CVSS، مما يعكس التأثير الشديد المحتمل على سرية وسلامة وتوافر الأنظمة المتأثرة. تكمن خطورة الثغرة في إمكانية تنفيذ أوامر تعسفية على مستوى النظام، مما قد يؤدي إلى اختراق كامل للخادم، سرقة البيانات الحساسة، أو استخدام النظام كنقطة انطلاق لهجمات جانبية. مع تأكيد وجود استغلالات نشطة وتوفر التصحيحات الأمنية في الإصدار 0.2.5، يجب على المؤسسات اتخاذ إجراءات فورية لتحديث الأنظمة المتأثرة وتطبيق ضوابط أمنية إضافية.
تم اكتشاف ثغرة حقن أوامر حرجة (CVE-2026-22688) بدرجة خطورة 9.9 في إطار عمل WeKnora من شركة تينسنت المخصص لفهم المستندات والاسترجاع الدلالي باستخدام النماذج اللغوية الكبيرة. تسمح هذه الثغرة للمستخدمين المصادق عليهم بحقن أوامر ضارة عبر معاملات stdio_config.command/args في إعدادات MCP stdio، مما يؤدي إلى تنفيذ عمليات فرعية تعسفية على الخادم. تؤثر الثغرة على جميع الإصدارات السابقة للإصدار 0.2.5، وتتوفر تحديثات أمنية في الإصدار 0.2.5، مع تأكيد وجود استغلالات نشطة في البرية.
Immediately upgrade WeKnora to version 0.2.5 or later and implement strict input validation for all MCP stdio configuration parameters.
قم بترقية WeKnora إلى الإصدار 0.2.5 أو أحدث فوراً وطبق التحقق الصارم من صحة جميع معاملات إعدادات MCP stdio.