CVE-2026-32622
Açıklama
SQLBot, büyük bir dil modeli ve RAG tabanlı akıllı bir veri sorgulama sistemidir. 1.5.0 ve altı sürümler, üç hatayı birbirine bağlayan bir Stored Prompt Injection zafiyeti içermektedir: herhangi bir kimliği doğrulanmış kullanıcının kötü amaçlı terminoloji yüklemesine izin veren Excel yükleme API'sindeki eksik yetki kontrolü, tehlikeli payload'lar içeren terminoloji açıklamalarının temizlenmeden depolanması ve terminolojinin LLM sistem istemine eklenmesi sırasında semantik çitlerin (semantic fencing) eksikliği. Bu hataların toplamı, bir saldırganın LLM'in muhakeme sürecini ele geçirerek kötü amaçlı PostgreSQL komutları (örneğin, COPY ... TO PROGRAM) oluşturmasına ve sonuç olarak veritabanı veya uygulama sunucusunda postgres kullanıcı ayrıcalıklarıyla Uzaktan Kod Çalıştırma gerçekleştirmesine olanak tanır. Sorun v1.6.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- fit2cloud sqlbot1.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fit2cloud sqlbot | v < 1.6.0 | 1.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.