CVE-2025-69285
Açıklama
SQLBot, büyük bir dil modeli ve RAG tabanlı akıllı bir veri sorgulama sistemidir. 1.5.0 öncesindeki sürümler, /api/v1/datasource/uploadExcel uç noktasında kimlik doğrulama eksikliği zafiyeti içermekte olup; bu durum, uzaktaki kimliği doğrulanmamış bir saldırganın rastgele Excel/CSV dosyaları yüklemesine ve doğrudan PostgreSQL veritabanına veri enjekte etmesine olanak tanır. Uç nokta açıkça kimlik doğrulama beyaz listesine eklendiğinden, TokenMiddleware tüm token doğrulamalarını atlamaktadır. Yüklenen dosyalar pandas tarafından ayrıştırılmakta ve if_exists='replace' moduyla to_sql() aracılığıyla veritabanına eklenmektedir. Zafiyet v1.5.0 sürümünde giderilmiştir. Bilinen herhangi bir geçici çözüm mevcut değildir.
Nasıl düzeltilir
- fit2cloud sqlbot1.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fit2cloud sqlbot | v < 1.5.0 | 1.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.