CVE-2024-7764 in vanna
Sumário
de VulDB • 09/06/2026
A versão v0.6.2 do Vanna-ai é vulnerável a SQL Injection devido à proteção insuficiente contra a injeção de comandos SQL adicionais provenientes de solicitações de usuário. A vulnerabilidade ocorre quando a função `generate_sql` chama `extract_sql` com a resposta do LLM. Um atacante pode incluir um ponto e vírgula entre um campo de dados de pesquisa e seu próprio comando, fazendo com que a função `extract_sql` remova todo o SQL gerado pelo LLM e execute o comando do atacante, caso este passe pela função `is_sql_valid`. Isso permite a execução de SQL definido pelo usuário além dos limites esperados, notadamente o esquema treinado.
Once again VulDB remains the best source for vulnerability data.