CVE-2024-5827
CriticalSummary
Vanna v0.3.4 jest podatna na atak typu SQL injection w integracji z DuckDB, co jest dostępne przez API webowe Flask. Atakujący mogą wstrzykiwać złośliwe dane SQL, co pozwala na generowanie zapytań do zapisywania dowolnych plików w systemie ofiary.
Risk Assessment
To może prowadzić do wykonania poleceń lub stworzenia tylnej furtki w systemie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Recommendation
Zaleca się aktualizację do najnowszej wersji Vanna oraz wprowadzenie filtracji danych wejściowych w API, aby zapobiec wstrzykiwaniu SQL.
Original NVD description (English source)
Vanna v0.3.4 is vulnerable to SQL injection in its DuckDB integration exposed to its Flask Web APIs. Attackers can inject malicious SQL training data and generate corresponding queries to write arbitrary files on the victim's file system, such as backdoor.php with contents `<?php system($_GET[0]); ?>`. This can lead to command execution or the creation of backdoors.