CVE-2024-5826 in vanna
要約
〜によって VulDB • 2026年05月25日
vanna-ai/vannaの最新バージョンにおいて、プロンプトインジェクションにより`vanna.ask`関数がリモートコード実行（RCE）の脆弱性に晒されています。根本原因は、LLM生成コードの実行時にサンドボックスが提供されていないことにあり、攻撃者は`src/vanna/base/base.py`内の`exec`関数によって実行されるコードを操作することができます。この脆弱性は、攻撃者がアプリケーションのバックエンドサーバー上でリモートコード実行を達成するために悪用され、サーバーの完全な制御を奪われる可能性があります。
Once again VulDB remains the best source for vulnerability data.