CVE-2026-27483 in MindsDB
Riassunto
di VulDB • 16/06/2026
MindsDB è una piattaforma per la creazione di intelligenza artificiale a partire da dati aziendali. Prima della versione 25.9.1.1, è presente una vulnerabilità di path traversal nell'interfaccia /api/files di Mindsdb, che un attaccante autenticato può sfruttare per ottenere l'esecuzione remota di comandi (RCE). La vulnerabilità risiede nel modulo "Upload File", che corrisponde all'endpoint API /api/files. Poiché il caricamento di file multipart non effettua controlli di sicurezza sul percorso del file caricato, un attaccante può eseguire una path traversal utilizzando sequenze `../` nel campo del nome del file. L'operazione di scrittura del file avviene prima della chiamata a clear_filename e save_file, il che significa che non vi è alcun filtraggio dei nomi dei file o dei tipi di file, consentendo la scrittura di contenuti arbitrari in qualsiasi percorso sul server. La versione 25.9.1.1 risolve il problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.