CVE-2024-45849

MindsDB, versões 23.10.5.0 a 24.7.4.1

Existe uma vulnerabilidade de execução de código arbitrário quando a integração do Microsoft SharePoint está instalada no servidor. Para bancos de dados criados com o mecanismo do SharePoint, uma consulta ‘INSERT’ especialmente criada pode ser usada para executar código Python no servidor. Isso se deve ao gerenciamento incorreto da geração de código, permitindo que um invasor remoto execute código arbitrário ao injetar uma consulta especialmente formulada.

Para as versões do MindsDB 23.10.5.0 a 24.7.4.1, considere desativar a integração com o Microsoft SharePoint até que um patch esteja disponível para impedir a exploração. Como solução alternativa temporária, restrinja a capacidade de executar consultas ‘INSERT’ em bancos de dados criados com o mecanismo do SharePoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.