Tóm tắt nhanh
- CVE-2024-10835 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng dbgpt, db-gpt (dbgpt).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.2%, cao hơn 67.8% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 0.7.1 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| dbgpt PyPI | < 0.7.1
| 0.7.1
|
| db-gpt | = 0.6.0
| Chưa có bản vá |
Mô tả
In eosphoros-ai/db-gpt version v0.6.0, the web API POST /api/v1/editor/sql/run allows execution of arbitrary SQL queries without any access control. This vulnerability can be exploited by attackers to perform Arbitrary File Write using DuckDB SQL, enabling them to write arbitrary files to the victim's file system. This can potentially lead to Remote Code Execution (RCE).
Mô tả của NVD
In eosphoros-ai/db-gpt version v0.6.0, the web API `POST /api/v1/editor/sql/run` allows execution of arbitrary SQL queries without any access control. This vulnerability can be exploited by attackers to perform Arbitrary File Write using DuckDB SQL, enabling them to write arbitrary files to the victim's file system. This can potentially lead to Remote Code Execution (RCE).
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí