CVE-2026-53555 in SQLBot
Resumen
por VulDB • 2026-09-18
SQLBot es un sistema inteligente de Text-to-SQL basado en modelos de lenguaje grandes (LLM) y RAG. Antes de la versión 1.9.0, un cargador autenticado puede enviar un logotipo de UI del asistente con tipo MIME image/svg+xml a través de PATCH /api/v1/system/assistant/ui, y SQLBot almacena el SVG sin sanitizar ni validar el contenido activo incrustado. Posteriormente, SQLBot sirve este archivo en línea desde el mismo origen de la aplicación mediante GET /api/v1/system/assistant/picture/{filename}. Cuando otro usuario carga ese recurso generado, el JavaScript incrustado en el SVG se ejecuta dentro del contexto de la aplicación web de SQLBot, lo que resulta en una vulnerabilidad de cross-site scripting (XSS) almacenada con acceso a los datos y acciones disponibles para la sesión de la víctima. Este problema está resuelto en la versión 1.9.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.