CVE-2026-53555 in SQLBot
Sumário
de VulDB • 18/09/2026
SQLBot é um sistema inteligente de Text-to-SQL baseado em grandes modelos linguísticos (LLMs) e RAG. Antes da versão 1.9.0, um uploader autenticado pode enviar um logotipo de UI do assistente no formato image/svg+xml através de PATCH /api/v1/system/assistant/ui, e o SQLBot armazena o SVG sem sanitizar ou validar conteúdo ativo embutido. Posteriormente, o SQLBot serve esse arquivo inline a partir da mesma origem da aplicação por meio de GET /api/v1/system/assistant/picture/{filename}. Quando outro usuário carrega esse recurso gerado, JavaScript embutido no SVG é executado no contexto da aplicação web do SQLBot, resultando em stored cross-site scripting (XSS) com acesso aos dados e ações disponíveis na sessão da vítima. Este problema foi corrigido na versão 1.9.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.