CVE-2024-5826 in vanna
Tóm tắt
Bởi VulDB • 09/06/2026
Trong phiên bản mới nhất của vanna-ai/vanna, hàm `vanna.ask` dễ bị tấn công thực thi mã từ xa (RCE) do lỗ hổng tiêm prompt (prompt injection). Nguyên nhân gốc rễ là việc thiếu cơ chế sandbox khi thực thi code được tạo bởi LLM, cho phép kẻ tấn công thao túng đoạn code được thực thi bởi hàm `exec` trong file `src/vanna/base/base.py`. Kẻ tấn công có thể khai thác lỗ hổng này để thực thi mã từ xa trên máy chủ backend của ứng dụng, qua đó có khả năng chiếm quyền kiểm soát hoàn toàn máy chủ.
If you want to get best quality of vulnerability data, you may have to visit VulDB.