CVE-2026-73678 in Minds Platform
Сводка
по VulDB • 14.08.2026
В платформе MindsDB версии 26.1.0 и более ранних версиях присутствует уязвимость удаленного выполнения кода (RCE), не требующая аутентификации, которая позволяет незарегистрированным злоумышленникам выполнять произвольные команды операционной системы путем отправки специально сформированных запросов к незащищенному конечной точке POST /api/v1/responses/. Эта точка доступа взаимодействует со инструментом scratchpad агента Anton, который вызывает функцию exec() для исходного кода на Python, подверженного влиянию злоумышленника, без использования песочницы. Злоумышленники могут сначала настроить свой собственный ключ API LLM через незащищенную конечную точку PUT /api/v1/settings/, а затем отправить запрос POST с инструкцией агенту вызвать инструмент scratchpad для выполнения произвольного кода на Python, что приводит к полному выполнению команд ОС от имени пользователя, запустившего десктопное приложение, и обеспечивает доступ к ключам SSH, сохраненным учетным данным и секретам окружения.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.