XPath Injection in Hugging Face Smolagents search_item_ctrl_f Function

A função search_item_ctrl_f do Hugging Face Smolagents combina entrada do usuário em consultas XPath sem limpeza adequada. Um atacante pode injetar código XPath para acessar elementos não intencionais, contornar filtros ou prejudicar tarefas automatizadas de navegação web.

Vulnerabilidade de injeção XPath em search_item_ctrl_f (src/smolagents/vision_web_browser.py) onde entrada fornecida pelo usuário é concatenada diretamente em expressões XPath sem sanitização. Um atacante pode injetar sintaxe XPath maliciosa para alterar a lógica de consulta, contornar filtros e acessar elementos DOM não intencionais, potencialmente resultando em divulgação de informações e interrupção de fluxos de automação web. Corrigido na versão 1.22.0.