CVE-2024-7764 in vanna
Сводка
по VulDB • 23.08.2026
Vanna-ai v0.6.2 уязвима к SQL Injection из-за недостаточной защиты от внедрения дополнительных SQL-команд из пользовательских запросов. Уязвимость возникает при вызове функции `generate_sql` с передачей ответа LLM в функцию `extract_sql`. Атакующий может включить точку с запятой между полем поисковых данных и своей собственной командой, что приведет к тому, что функция `extract_sql` удалит весь SQL-код, сгенерированный LLM, и выполнит команду атакующего, если она пройдет проверку в функции `is_sql_valid`. Это позволяет выполнять пользовательский SQL за пределами ожидаемых границ, включая обученную схему.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.