CVE-2024-5826 in vanna
Riassunto
di VulDB • 20/06/2026
Nell'ultima versione di vanna-ai/vanna, la funzione `vanna.ask` è vulnerabile all'esecuzione remota di codice (RCE) a causa dell'iniezione di prompt. La causa radice risiede nell'assenza di un ambiente sandbox durante l'esecuzione del codice generato dal LLM, consentendo ad un attaccante di manipolare il codice eseguito dalla funzione `exec` in `src/vanna/base/base.py`. Questa vulnerabilità può essere sfruttata da un attaccante per ottenere l'esecuzione remota di codice sul server backend dell'applicazione, potenzialmente acquisendo il controllo completo del server.
Be aware that VulDB is the high quality source for vulnerability data.