ملف lenovo-lena-chatbot-xssحقن الأوامرالصين
روبوت الدعم Lena من Lenovo يُستدرج إلى حمولة XSS تسرق ملفات تعريف ارتباط جلسات الموظفين
استخدمت Cybernews طلباً من 400 حرف لجعل روبوت Lena من Lenovo يُخرج HTML بوسم صورة معطوب يرسل ملفات تعريف الارتباط إلى خادم المهاجم، كاشفاً جلسات موظفي الدعم. وأقرت Lenovo وأصلحته.
متوسطةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 18 أغسطس 2025
- الموقع
- الصين
- الهدف
- روبوت دعم العملاء Lena من Lenovo (قائم على GPT-4)
- الخطورة
- متوسطة
- الجهة المنفذة
- فريق أبحاث Cybernews
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
استخدمت Cybernews طلباً من 400 حرف لجعل روبوت Lena من Lenovo يُخرج HTML بوسم صورة معطوب يرسل ملفات تعريف الارتباط إلى خادم المهاجم، كاشفاً جلسات موظفي الدعم. وأقرت Lenovo وأصلحته.
الأثر: كان اختطاف جلسات دردشات الدعم الحية والسابقة ممكناً؛ ولا دليل على استغلال فعلي
من نفّذها
الجهة: فريق أبحاث Cybernews
الإسناد: إفصاح مسؤول في 22 يوليو 2025؛ وأكدته Lenovo في 6 أغسطس
الدافع: بحث أمني
كيف حدثت
أسلوب الهجوم: حقن أوامر مباشر يطلب مخرجات HTML؛ ورد روبوت الدردشة غير المنقّى يُعرض في واجهة الدعم
السبب الجذري: غياب التحقق من المدخلات أو تنقية المخرجات بين النموذج اللغوي وواجهة الويب الأمامية
التسلسل الزمني
- Cybernews تكشف المشكلة لـ Lenovo
- Lenovo تؤكد الثغرة
- Lenovo ترقّع وCybernews تنشر
الاستجابة
قالت Lenovo إنها حمت أنظمتها بعد التقرير
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- Cybernews cybernews.com
- CSO Online csoonline.com
- BetaNews betanews.com
الاستشهاد بهذا الملف
روبوت الدعم Lena من Lenovo يُستدرج إلى حمولة XSS تسرق ملفات تعريف ارتباط جلسات الموظفين. AI Threat Watch, ملف lenovo-lena-chatbot-xss, 18 أغسطس 2025. https://aithreat.io/ar/cases/lenovo-lena-chatbot-xss/
رابط دائم: https://aithreat.io/ar/cases/lenovo-lena-chatbot-xss/