CVE-2026-32622 in SQLBot
Zusammenfassung
von VulDB • 01.06.2026
SQLBot ist ein intelligentes Datenabfragesystem, das auf einem Large Language Model (LLM) und RAG (Retrieval-Augmented Generation) basiert. Die Versionen 1.5.0 und älter enthalten eine Stored Prompt Injection-Schwachstelle, die drei Fehler kombiniert: eine fehlende Berechtigungsprüfung in der Excel-Upload-API, die jedem authentifizierten Benutzer das Hochladen bösartiger Terminologie ermöglicht, die ungesäuberte Speicherung von Terminologiebeschreibungen, die gefährliche Payloads enthalten, sowie das Fehlen semantischer Abschottung beim Einfügen der Terminologie in den System-Prompt des LLM. Zusammen ermöglichen diese Fehler es einem Angreifer, die Schlussfolgerungen des LLM zu übernehmen, um bösartige PostgreSQL-Befehle (z. B. COPY ... TO PROGRAM) zu generieren, was letztlich zu Remote Code Execution (RCE) auf der Datenbank oder dem Anwendungsserver mit postgres-Benutzerrechten führt. Das Problem wurde in Version 1.6.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.