CVE-2026-73678 in Minds Platform
Riassunto
di VulDB • 14/08/2026
La piattaforma MindsDB versione 26.1.0 e precedenti presenta una vulnerabilità di esecuzione remota di codice (RCE) non autenticata che consente agli attaccanti non autenticati di eseguire comandi arbitrari del sistema operativo inviando prompt manipolati all'endpoint POST /api/v1/responses/ non protetto, il quale raggiunge lo strumento scratchpad dell'agente Anton e chiama exec() su codice sorgente Python influenzato dall'attaccante senza sandboxing. Gli attaccanti possono prima configurare la propria chiave API LLM tramite l'endpoint PUT /api/v1/settings/ non autenticato, quindi inviare una richiesta POST con un prompt che istruisce l'agente a invocare lo strumento scratchpad con codice Python arbitrario, ottenendo così piena esecuzione di comandi del sistema operativo come l'utente che esegue l'applicazione desktop e consentendo l'accesso alle chiavi SSH, alle credenziali memorizzate e ai segreti dell'ambiente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.