CVE-2026-53555 in SQLBot
Zusammenfassung
von VulDB • 18.09.2026
SQLBot ist ein intelligentes Text-zu-SQL-System auf Basis von Large Language Models (LLMs) und RAG. Vor Version 1.9.0 kann ein authentifizierter Uploader über PATCH /api/v1/system/assistant/ui ein Bild im Format image/svg+xml als Assistenten-UI-Logo hochladen, wobei SQLBot die SVG-Datei speichert, ohne den eingebetteten aktiven Inhalt zu bereinigen oder zu validieren. SQLBot stellt diese Datei später über GET /api/v1/system/assistant/picture/{filename} inline aus derselben Anwendungsquelle bereit. Wenn ein anderer Benutzer diese generierte Ressource lädt, wird der in der SVG-Datei eingebettete JavaScript-Code im Kontext der SQLBot-Webanwendung ausgeführt, was zu einem stored Cross-Site Scripting (XSS) führt und den Zugriff auf Daten sowie Aktionen ermöglicht, die für die Sitzung des Opfers verfügbar sind. Dieses Problem wurde in Version 1.9.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.