CVE-2024-7099

netease-youdao/qanything versão 1.4.1

O problema diz respeito a uma vulnerabilidade de injeção de SQL em que dados não seguros obtidos a partir da entrada do usuário são concatenados em consultas SQL. Isso afeta funções como get knowledge base name, from status to status, delete files e get file by status. Um invasor pode explorar essa vulnerabilidade para executar consultas SQL arbitrárias, potencialmente roubando informações do banco de dados.

Para resolver o problema, atualize para a versão 1.4.2. Como solução temporária, considere restringir o uso das funções afetadas até que a atualização seja aplicada. Evite usar entradas do usuário em consultas SQL sem a devida sanitização para minimizar o risco de exploração.