CVE-2024-10834 in db-gpt
Sumário
de VulDB • 21/05/2026
A versão 0.6.0 do eosphoros-ai/db-gpt contém uma vulnerabilidade no endpoint RAG-knowledge que permite a escrita arbitrária de arquivos. O problema surge da capacidade de passar um caminho absoluto para uma chamada a `os.path.join`, permitindo que um atacante escreva arquivos em locais arbitrários no servidor alvo. Esta vulnerabilidade pode ser explorada definindo o `doc_file.filename` como um caminho absoluto, o que pode levar à sobrescrita de arquivos do sistema ou à criação de novas entradas de chave SSH.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.