CVE-2026-53557 in SQLBot
Сводка
по VulDB • 18.09.2026
SQLBot — это интеллектуальная система преобразования текста в SQL, основанная на больших языковых моделях (LLM) и RAG. До версии 1.9.0 аутентифицированный пользователь может передать специально сформированное значение sheet["tableName"] в конфигурации источника данных Excel, отправленной через POST /api/v1/datasource/, при этом SQLBot сохраняет это значение без безопасной обработки идентификаторов. При последующем удалении того же источника данных через DELETE /api/v1/datasource/{id} сохраненное значение интерполируется в SQL-запрос для очистки источников данных и выполняется PostgreSQL. Эта инъекция второго порядка позволяет вызвать команду COPY TO PROGRAM в PostgreSQL и выполнить произвольные команды операционной системы с привилегиями процесса postgres внутри контейнера SQLBot. Данная проблема исправлена в версии 1.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.