CVE-2026-33324
Açıklama
SQLBot, büyük dil modellerine ve RAG'ye dayalı akıllı bir Text-to-SQL sistemidir. 1.7.0 ve önceki sürümlerde, Text2SQL sohbet arayüzü prompt injection saldırılarına karşı savunmasızdır. Kullanıcı tarafından sağlanan question parametresi, herhangi bir filtreleme veya kaçış işlemi uygulanmadan doğrudan LLM prompt'una eklenmekte ve LLM yanıtından çıkarılan SQL, doğrulama veya temizleme yapılmadan veritabanında çalıştırılmaktadır. Kimliği doğrulanmış bir saldırgan, LLM'yi rastgele SQL ifadeleri oluşturmaya ve yürütmeye yönlendirmek için kötü niyetli bir soru hazırlayabilir. Bir PostgreSQL veri kaynağına bağlı olduğunda, bu durum COPY FROM PROGRAM aracılığıyla uzaktan kod çalıştırmaya yol açabilir. Bu sorun 1.7.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- fit2cloud sqlbot1.7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fit2cloud sqlbot | v < 1.7.1 | 1.7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.