Flyte Admin SQL Injection in List Filters

CAO 8.8CVE-2023-41891 · GHSA-r847-6w6h-r8g4 · GO-2023-2162 · Công bố 30/10/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-41891 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng github.com/flyteorg/flyteadmin, flyteadmin (flyte).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.1%, cao hơn 64.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.1.124 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/flyteorg/flyteadmin Go	`< 1.1.124`	`1.1.124`
flyteadmin flyte	`< 1.1.124`	`1.1.124`

Mô tả

Impact

List endpoints on Flyte Admin has a SQL vulnerability where a malicious user can send a REST requests with custom SQL statements as list filters.

Workarounds

The attacker needs to have access to the flyteadmin installation (typically either behind a VPN or authentication).

References

https://owasp.org/www-community/attacks/SQL_Injection#

Mô tả của NVD

FlyteAdmin is the control plane for Flyte responsible for managing entities and administering workflow executions. Prior to version 1.1.124, list endpoints on FlyteAdmin have a SQL vulnerability where a malicious user can send a REST request with custom SQL statements as list filters. The attacker needs to have access to the FlyteAdmin installation, typically either behind a VPN or authentication. Version 1.1.124 contains a patch for this issue.