6.5
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
A command injection vulnerability in ModelScope's ms-agent versions v1.6.0rc1 and earlier exists, allowing an attacker to execute arbitrary operating system commands through crafted prompt-derived input.
Засегнати продукти
- ModelScope ms-agent: до v1.6.0rc1
Вид слабост
История
- 2 март 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-2256
- https://nvd.nist.gov/vuln/detail/CVE-2026-2256
- https://github.com/modelscope/ms-agent
- https://www.hiddenlayer.com/research/indirect-prompt-injection-of-claude-computer-use
- https://medium.com/@itamar.yochpaz/cve-2026-2256-from-ai-prompt-to-full-system-compromise-a4114c718326
- https://github.com/Itamar-Yochpaz/CVE-2026-2256-PoC
- https://www.kb.cert.org/vuls/id/431821