CVE-2024-5826 in vanna
الملخص
بحسب VulDB • 09/06/2026
في أحدث إصدار من vanna-ai/vanna، تُعد الدالة `vanna.ask` عرضة لتنفيذ الكود عن بُعد (RCE) بسبب حقن المطالبات (Prompt Injection). يتمثل السبب الجذري في عدم وجود بيئة معزولة (Sandbox) عند تنفيذ الكود الذي تولده نماذج اللغات الكبيرة (LLM)، مما يتيح للمهاجم التلاعب بالكود المنفذ بواسطة دالة `exec` الموجودة في الملف `src/vanna/base/base.py`. يمكن استغلال هذه الثغرة من قبل مهاجم لتحقيق تنفيذ للكود عن بُعد على خادم الخلفية للتطبيق، مما قد يمنحه السيطرة الكاملة على الخادم.
If you want to get best quality of vulnerability data, you may have to visit VulDB.