CVE-2024-5826
Açıklama
vanna-ai/vanna'nın son sürümünde, `vanna.ask` fonksiyonu istem enjeksiyonu (prompt injection) nedeniyle uzaktan kod çalıştırmaya karşı savunmasızdır. Temel neden, LLM tarafından oluşturulan kod yürütülürken bir sandbox bulunmamasıdır ve bu durum, saldırganın `src/vanna/base/base.py` dosyasındaki `exec` fonksiyonu tarafından çalıştırılan kodu manipüle etmesine olanak tanır. Bu zafiyet, bir saldırgan tarafından uygulama arka uç sunucusunda uzaktan kod çalıştırmak için kullanılabilir ve potansiyel olarak sunucunun tam kontrolünün ele geçirilmesine yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vannaPyPI | v ≤ 0.6.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.