CVE-2026-27483

MindsDB müəssisə məlumatlarından süni intellekt yaratmaq üçün nəzərdə tutulmuş platformadır. Versiya 25.9.1.1-dən əvvəlki versiyalarda MindsDB-nin /api/files interfeysində yol keçidi (path traversal) zəifliyi mövcuddur ki, bu da autentifikasiya olunmuş hücumçu tərəfindən uzaqdan kodun icrasını təmin etmək üçün istifadə edilə bilər. Zəiflik /api/files API son nöqtəsinə uyğun gələn "Upload File" modulunda mövcuddur. Multipart fayl yükləmə prosesi yüklənən fayl yolu üzərində təhlükəsizlik yoxlamaları aparmadığı üçün, hücumçu fayl adı sahəsində `../` ardıcıllıqlarından istifadə edərək yol keçidi həyata keçirə bilər. Faylın yazılması əməliyyatı clear_filename və save_file funksiyaları çağırılmadan əvvəl baş verir, bu isə fayl adlarının və ya fayl növlərinin filtrlənmədiyi mənasına gəlir və serverdə hər hansı bir yola ixtiyari məzmunun yazılmasına şərait yaradır. Versiya 25.9.1.1 bu problemi aradan qaldırır.