CVE-2026-107717— Banks：用户可控提示输入被解析为特权聊天消息
一分钟漏洞结论
影响对象
masci banks
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Banks 使用一个简单的模板语言生成具有实际意义的 LLM 提示词。在版本 2.5.0 之前，Banks 的 Prompt.chat_messages() 方法会尝试将渲染后的模板输出中的每一行解析为 ChatMessage JSON 对象。当应用程序渲染不可信数据，并将返回的 ChatMessage 对象传递给大语言模型（LLM）提供商时，攻击者控制的 JSON 数据可能突破提示词边界，伪装成系统消息、助手消息或工具消息，因为 ChatMessage.role 字段接受任意字符串。这可能导致覆盖应用预设的系统指
可能的 ATT&CK 技术 1 AI
T1505 · Server Software Component
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-107717 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Banks: User-controlled prompt input can be parsed as privileged chat messages
来源: CVE Program / CVE List V5
Vulnerability Description
Banks generates meaningful LLM prompts using a simple template language. Prior to 2.5.0, Banks Prompt.chat_messages() attempts to parse every line of rendered template output as ChatMessage JSON. When an application renders untrusted data and passes the returned ChatMessage objects to an LLM provider, attacker-controlled JSON can cross the prompt boundary and become a system, assistant, or tool message because ChatMessage.role accepts arbitrary strings. This can override application instructions, alter the intended prompt structure, or confuse downstream tool and message handling. This issue is fixed in version 2.5.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
输入验证不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-107717 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-107717 的情报信息
请登录查看更多情报信息。
CVE-2026-107717 其他参考 (4)
-
https://github.com/masci/banks/pull/78 x_refsource_MISC
-
https://github.com/masci/banks/releases/tag/v2.5.0 x_refsource_MISC
-
https://github.com/masci/banks/security/advisories/GHSA-hmq2-7hp6-7crh x_refsource_CONFIRM
IV. Related Vulnerabilities
V. Comments for CVE-2026-107717
暂无评论