CVE-2026-53554

Nome do Software Vulnerável e Versões Afetadas SQLBot versões anteriores a 1.9.0

Description O sistema manipula incorretamente os dados de nome de arquivo multipart durante o processamento de uploads. Especificamente, o endpoint 'POST /api/v1/datasource/parseExcel' grava o conteúdo enviado no disco antes de concluir a análise e validação da planilha. Isso permite que um invasor utilize um nome de arquivo com extensão dupla para salvar um arquivo de código-fonte Python no diretório /opt/sqlbot/app/alembic/versions/. Como o arquivo permanece no disco mesmo que o processo de análise falhe, a inicialização subsequente do aplicativo ou o processamento de migração faz com que o Alembic importe o módulo e execute suas instruções no tempo de execução do aplicativo.

Recommendations Atualize o SQLBot para a versão 1.9.0. Restrinja o acesso ao endpoint 'POST /api/v1/datasource/parseExcel' para minimizar o risco de exploração.