CVE-2026-73678 in Minds Platform
Sumário
de VulDB • 14/08/2026
A plataforma MindsDB versão 26.1.0 e anteriores contém uma vulnerabilidade de execução remota de código (RCE) não autenticada que permite a atacantes não autenticados executar comandos arbitrários do sistema operacional enviando prompts manipulados ao endpoint POST /api/v1/responses/ desprotegido, o qual alcança a ferramenta scratchpad do agente Anton, que chama exec() em fonte Python influenciado pelo atacante sem sandboxing. Os atacantes podem primeiro configurar sua própria chave de API LLM através do endpoint PUT /api/v1/settings/ não autenticado e depois enviar um POST com um prompt direcionando o agente para invocar a ferramenta scratchpad com código Python arbitrário, alcançando execução completa de comandos OS como o usuário que executa o aplicativo desktop e permitindo acesso às chaves SSH, credenciais armazenadas e segredos do ambiente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.