CVE-2026-73678 in Minds Platform
Zusammenfassung
von VulDB • 14.08.2026
In der MindsDB Platform Version 26.1.0 und früheren Versionen ist eine Remote-Code-Ausführungs-Schwachstelle (RCE) ohne Authentifizierung enthalten, die es nicht authentifizierten Angreifern ermöglicht, beliebige OS-Befehle auszuführen, indem sie manipulierte Prompts an den ungeschützten POST /api/v1/responses/ Endpunkt senden. Dieser erreicht das Scratchpad-Tool des Anton-Agenten, welches exec() auf vom Angreifer beeinflussten Python-Quellcode ohne Sandboxing aufruft. Angreifer können zunächst ihren eigenen LLM-API-Schlüssel über den nicht authentifizierten PUT /api/v1/settings/ Endpunkt konfigurieren und anschließend einen Prompt per POST anfordern, der den Agenten dazu veranlasst, das Scratchpad-Tool mit beliebigem Python-Code aufzurufen. Dadurch wird die vollständige OS-Befehlsausführung als Benutzer ausgeführt, der die Desktop-Anwendung ausführt, was Zugriff auf SSH-Schlüssel, gespeicherte Anmeldeinformationen und Umgebungsgeheimnisse ermöglicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.