CVE-2024-8099
Açıklama
DuckDB veritabanı olarak kullanıldığında, vanna-ai/vanna'nın son sürümünde bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Bir saldırgan; DuckDB'nin `read_csv`, `read_csv_auto`, `read_text` ve `read_blob` gibi varsayılan özelliklerinden yararlanan özel hazırlanmış SQL sorguları göndererek dahili veya harici kaynaklara yetkisiz istekler yapabilir ve bu zafiyeti istismar edebilir. Bu durum; hassas verilere, dahili sistemlere yetkisiz erişime ve potansiyel olarak daha ileri düzey saldırılara yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vanna-ai vanna-ai/vanna | v ≤ latest | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.