DB-GPT vulnerable to Arbitrary File Upload with Path Traversal

NGHIÊM TRỌNG 9.8CVE-2024-10902 · GHSA-3xq5-x4fj-rff7 · PYSEC-2026-321 · Công bố 20/03/2025 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-10902 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng dbgpt, db-gpt (dbgpt).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.3%, cao hơn 70.7% các lỗ hổng khác.
Chưa có phiên bản vá trong dữ liệu: theo dõi khuyến cáo của nhà cung cấp ở phần Tham khảo.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
dbgpt PyPI	`≤ 0.6.0`	Chưa có bản vá
db-gpt dbgpt	`= 0.6.0`	Chưa có bản vá

Mô tả

In eosphoros-ai/db-gpt version v0.6.0, the web API POST /v1/personal/agent/upload is vulnerable to Arbitrary File Upload with Path Traversal. This vulnerability allows unauthorized attackers to upload arbitrary files to the victim's file system at any location. The impact of this vulnerability includes the potential for remote code execution (RCE) by writing malicious files, such as a malicious __init__.py in the Python's /site-packages/ directory.

Mô tả của NVD

In eosphoros-ai/db-gpt version v0.6.0, the web API `POST /v1/personal/agent/upload` is vulnerable to Arbitrary File Upload with Path Traversal. This vulnerability allows unauthorized attackers to upload arbitrary files to the victim's file system at any location. The impact of this vulnerability includes the potential for remote code execution (RCE) by writing malicious files, such as a malicious `__init__.py` in the Python's `/site-packages/` directory.