ثغرة حرجة في حزمة مفتوحة المصدر تعرّض ملايين وكلاء الذكاء الاصطناعي للخطر

التكنولوجيا اليومية

التكنولوجيا اليومية

·

27/05/2026

button icon
ADVERTISEMENT

اكتُشفت ثغرة أمنية خطيرة في Starlette، وهو إطار عمل مفتوح المصدر واسع الاستخدام، وقد تؤدي إلى تعريض ملايين وكلاء وأدوات الذكاء الاصطناعي لاختراقات أمنية جسيمة. وتتيح هذه الثغرة، التي أُطلق عليها اسم «BadHost» (CVE-2026-48710)، للمهاجمين الوصول غير المصرح به إلى البيانات الحساسة وبيانات الاعتماد المخزنة على الخوادم المتأثرة.

أبرز النقاط

CVE-2026-48710

تُعد ثغرة BadHost سهلة الاستغلال للغاية، ويمكن أن تكشف البيانات الحساسة وبيانات اعتماد الحسابات لدى الجهات الخارجية عبر بنية الذكاء الاصطناعي المعتمدة على Starlette.

ADVERTISEMENT

شرح الثغرة الأمنية

يُعد Starlette إطار ASGI أساسيًا يساعد تطبيقات Python على التعامل بكفاءة مع كميات كبيرة من الطلبات، وهو ما يجعل هذه الثغرة شديدة الأثر نظرًا إلى مكانته داخل المنظومة التقنية.

🧩

لماذا يُعد Starlette مهمًا في منظومة الذكاء الاصطناعي

تكمن خطورة هذه الثغرة ليس في العيب نفسه فحسب، بل أيضًا في أن Starlette يقع في الطبقة التحتية لعدد من أدوات الذكاء الاصطناعي وPython واسعة الاستخدام.

أساس الإطار

يشكّل Starlette البنية التي يقوم عليها FastAPI، ويؤدي دور طبقة أساسية في خدمات الويب الحديثة المعتمدة على Python.

اتساع نطاق أدوات الذكاء الاصطناعي

تعتمد عليه مشروعات مثل vLLM وLiteLLM، مما يمدد أثر الثغرة إلى وكلاء وأدوات الذكاء الاصطناعي.

مخاطر كشف بيانات الاعتماد

ولأن هذه الأنظمة تتصل بخوادم MCP وخدمات خارجية، فقد يتحول خلل في التوجيه إلى مسار لسرقة بيانات الاعتماد.

ADVERTISEMENT

كيف يمكن للمهاجمين استغلال BadHost

يعتمد الاستغلال على إساءة استخدام الطريقة التي يتعامل بها Starlette مع التوجيه والتفويض عند معالجة ترويسة HTTP Host.

مسار هجوم BadHost

1

إدخال محرف في ترويسة Host

يُجري المهاجم تعديلًا طفيفًا على ترويسة HTTP Host عبر حقن بسيط.

2

تجاوز التفويض المستند إلى المسار

يتسبب هذا الرأس المشوّه في أن يتجاوز منطق التوجيه في Starlette فحوص التفويض المستخدمة في FastAPI والأنظمة ذات الصلة.

3

الوصول إلى الخدمات المتصلة بـ MCP

بعد ذلك، يمكن للمهاجمين الوصول إلى خوادم MCP التي تحتفظ ببيانات اعتماد لقواعد البيانات وحسابات البريد الإلكتروني والتقويمات وغيرها من الموارد المرتبطة.

4

استخراج البيانات الحساسة وبيانات الاعتماد

وتكون النتيجة وصولًا غير مصرح به إلى المعلومات الحساسة وأسرار حسابات الجهات الخارجية.

ADVERTISEMENT

اتساع نطاق التأثير ومستوى الخطورة

يقول الباحثون إن المشكلة تتجاوز إطار عمل واحدًا بكثير، وتمتد إلى شريحة واسعة من منظومة أدوات الذكاء الاصطناعي المبنية على Python.

المنظومة المتأثرة والاستجابة

المجالالتفاصيللماذا يهم
الأدوات المتأثرةvLLM وText Generation Inference وLiteLLM ووكلاء OpenAI-shim proxy وخوادم MCP وأطر تشغيل الوكلاء ولوحات التقييم وواجهات إدارة النماذجيمكن أن تمتد الثغرة عبر مكونات بنية الذكاء الاصطناعي واسعة الاستخدام.
الجدل حول مستوى الخطورةصُنفت في البداية بدرجة 7/10، لكن X41 D-Sec ترى أن المشكلة حرجةقد يكون التقييم الأصلي أقل من مستوى الخطر الحقيقي وقابلية الاستغلال في الواقع.
الإصدارات المتأثرةإصدارات Starlette الأقدم من 1.0.1تظل عمليات النشر الأقدم مكشوفة إلى أن يجري تحديثها.
دعم التخفيف من الأثرأطلقت X41 D-Sec وNemesis أداة فحص عبر الإنترنتيمكن للمؤسسات تحديد الخوادم المعرضة للخطر بسرعة أكبر.
ADVERTISEMENT

ومع أن الإصلاح بات متاحًا الآن في Starlette 1.0.1، فإن حجم الاستخدام في المشاريع التابعة يعني أن كثيرًا من البيئات المنشورة قد تظل مكشوفة إلى أن يُحدّثها القائمون عليها ويتحققوا من سلامتها.

قراءة مقترحة

20-05-2026
فكّ رموز الابتكارات القديمة: رؤى تقنية من كنز يعود إلى العصر البرونزي
اكتشف كيف يميط العلم الحديث اللثام عن أسرار كنز يعود إلى 3,000 عام. واستكشف الاتجاهات في تحليل المواد والابتكار القديم.
ADVERTISEMENT
20-05-2026
وصول Android 17 QPR1 Beta 3 إلى أجهزة Pixel مع إصلاحات مهمة للأخطاء
تطرح Google إصدار Android 17 QPR1 Beta 3 لأجهزة Pixel، متيحًا إصلاحات ضرورية لأخطاء النظام ومشكلات الصوت وواجهة المستخدم والاتصال.
20-05-2026
فكّ شيفرة الموجة المقبلة من الذكاء الاصطناعي: صعود الوكلاء الشخصيين
استكشف مستقبل الذكاء الاصطناعي مع صعود الوكلاء الشخصيين مثل Gemini Spark من Google. تعرّف إلى اتجاهات رئيسية مثل المهام المستقلة والتكامل العميق مع المنظومات الرقمية.
21-05-2026
الذكاء الاصطناعي على موجات الأثير: دروس من تجربة إذاعية غير مسبوقة
منحت تجربةٌ أربعة نماذج متقدمة للذكاء الاصطناعي السيطرة على محطات إذاعية. وتكشف النتائج، التي تراوحت بين النشاط السياسي والمحتوى ذي الطابع السوداوي، اتجاهات رئيسية بشأن صعوبة التنبؤ بالذكاء الاصطناعي المستقل.
ADVERTISEMENT
21-05-2026
OpenAI تستعد لطرح كبير في السوق: مبتكرة ChatGPT تتطلع إلى طرح عام أولي
تستعد OpenAI، مبتكرة ChatGPT، بحسب تقارير، للتقدم قريبًا بطلب طرح عام أولي، في خطوة قد تمهد لتحرك كبير في السوق وتؤثر في تقييم قطاع الذكاء الاصطناعي.
22-05-2026
فهم تحوّل Samsung إلى Google Messages
تُنهي Samsung العمل بتطبيق Messages الخاص بها. تعرّف إلى الاتجاهات التقنية الثلاثة الرئيسية التي تقود هذا التحوّل: توحيد المنصات، وصعود RCS، والتكامل العميق للذكاء الاصطناعي.
25-05-2026
وصول الخادم الآلي الشبيه بالبشر: رؤية الصين تصطدم بعقبات تقنية
تعلن شركة GigaAI الصينية عن SeeLight S1، وهو روبوت منزلي شبيه بالبشر يعمل كخادم. لكن هل يستطيع تجاوز التحديات التقنية الهائلة التي تفرضها بيئة المنزل الواقعية؟
ADVERTISEMENT
26-05-2026
القفزة التالية في التقنيات القابلة للارتداء: حل معضلة عمر البطارية
اكتشف مستقبل أجهزة تتبّع الصحة، حيث تستفيد تقنية جديدة من حرارة الجسم لحل مشكلة البطارية، بما يتيح مراقبة صحية مستمرة وتنبؤية.
26-05-2026
مستقبل الأجهزة القابلة للارتداء: من تتبّع اللياقة إلى الصحة التنبؤية
اكتشف أحدث الاتجاهات في تكنولوجيا الأجهزة القابلة للارتداء، مع تطوّر الساعات الذكية من أدوات لتتبّع اللياقة إلى أجهزة للصحة التنبؤية قادرة على استباق الأحداث الطبية.
29-05-2026
Microsoft Surface: من التصاميم التجريبية إلى مستقبل أكثر تركيزًا
تحليل مقارن لسلسلة Microsoft Surface، يتناول تحوّلها من عتاد تجريبي إلى مستقبل أكثر صقلًا وتركيزًا على الذكاء الاصطناعي. ما الخطوة التالية لهذه العلامة؟
ADVERTISEMENT