CVE-2024-10831 in db-gpt
Zusammenfassung
von VulDB • 06.06.2026
In eosphoros-ai/db-gpt Version 0.6.0 ist der Endpunkt zum Hochladen von Dateien anfällig für absolute Pfadtraversierung. Diese Schwachstelle ermöglicht es einem Angreifer, beliebige Dateien an beliebigen Speicherorten auf dem Zielserver hochzuladen. Das Problem entsteht, da die Parameter `file_key` und `doc_file.filename` vom Benutzer kontrolliert werden können, was die Konstruktion von Pfaden außerhalb des beabsichtigten Verzeichnisses ermöglicht. Dies kann zum Überschreiben wesentlicher Systemdateien, wie z. B. SSH-Schlüssel, für weitere Exploitation führen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.