CVE-2024-5827

Vanna versão 0.3.4

A vulnerabilidade está relacionada à interface web do framework Vanna, especificamente à sua integração com as APIs web DuckDB e Flask. Ela permite a injeção de SQL, possibilitando que invasores injetem dados de treinamento SQL maliciosos. Isso pode levar à geração de consultas que gravam arquivos arbitrários no sistema de arquivos da vítima. Por exemplo, um invasor poderia criar um backdoor gravando um arquivo chamado backdoor.php com conteúdo como <?php system($ GET[0]); ?>, o que poderia levar à execução de comandos. A exploração desse problema pode permitir que um invasor remoto execute comandos arbitrários enviando solicitações especialmente criadas.

Para a versão 0.3.4 do Vanna, considere desativar a integração com o DuckDB nas APIs Web do Flask como uma solução temporária até que um patch esteja disponível. Restrinja o acesso aos endpoints da API vulneráveis para minimizar o risco de exploração. Evite usar entradas fornecidas pelo usuário em consultas SQL até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.