PT-2026-26367
CVE-2026-32622
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-03-23
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SQLBot 1.5.0 وما دونها
الوصف
SQLBot هو نظام ذكي لاستعلام البيانات يعتمد على نموذج لغوي كبير (LLM) وتقنية RAG. تحتوي الإصدارات 1.5.0 وما دونها على مشكلة حقن المطالبات المخزنة (Stored Prompt Injection) التي تجمع بين ثلاث ثغرات: عدم وجود فحص للأذونات في واجهة برمجة تطبيقات (API) تحميل ملفات Excel، مما يسمح لأي مستخدم تمت مصادقته بتحميل مصطلحات ضارة؛ وتخزين غير معقم لأوصاف المصطلحات التي تحتوي على حمولات خطيرة؛ وغياب الحواجز الدلالية عند حقن المصطلحات في مطالبة نظام النموذج اللغوي الكبير (LLM). تسمح هذه الثغرات للمهاجم باختطاف عملية الاستدلال الخاصة بنموذج اللغة الكبير (LLM) لتوليد أوامر PostgreSQL ضارة (مثل
COPY ... TO PROGRAM)، مما يؤدي في النهاية إلى تنفيذ التعليمات البرمجية عن بُعد على قاعدة البيانات أو خادم التطبيق باستخدام امتيازات مستخدم postgres. نقطة نهاية واجهة برمجة التطبيقات (API) المستخدمة للتحميلات الضارة هي واجهة برمجة تطبيقات تحميل ملفات Excel. المعلمة المعرضة للخطر هي ملف Excel الذي تم تحميله والذي يحتوي على مصطلحات ضارة.التوصيات
يجب تحديث الإصدارات الأقدم من 1.6.0 إلى الإصدار 1.6.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾