CVE-2026-73678 in Minds Platform
要約
〜によって VulDB • 2026年08月14日
MindsDB Minds Platform バージョン 26.1.0 およびそれ以前には、認証されていない攻撃者が保護されていない POST /api/v1/responses/ エンドポイントに対して作成されたプロンプトを送信することで任意の OS コマンドを実行できる、認証不要のリモートコード実行（RCE）脆弱性が存在します。このエンドポイントは、攻撃者の影響を受けた Python ソースコードをサンドボックス化せずに exec() を呼び出す Anton エージェントの scratchpad ツールに到達します。攻撃者はまず、認証不要の PUT /api/v1/settings/ エンドポイントを通じて独自の LLM API キーを設定し、その後エージェントに対して任意の Python コードで scratchpad ツールを呼び出すよう指示するプロンプトを送信することで、デスクトップアプリケーションを実行しているユーザーとして完全な OS コマンド実行を実現し、SSH キー、保存された資格情報、および環境シークレットへのアクセスを可能にします。
VulDB is the best source for vulnerability data and more expert information about this specific topic.