CVE-2026-10105
WysokieCVSS 8.3Streszczenie
W wersji 2.6.5 agno występuje podatność na wstrzykiwanie SQL w backendzie bazy danych ClickHouse. Umożliwia to atakującym wstrzykiwanie dowolnych wyrażeń SQL poprzez dostarczenie złośliwych kluczy i wartości metadanych do metody delete_by_metadata().
Ocena ryzyka
Podatność ta pozwala atakującym na usunięcie wszystkich wierszy lub celowanie w konkretne wiersze, a także na wydobywanie informacji za pomocą technik wstrzykiwania SQL opartych na błędach lub ślepych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji agno, aby usunąć tę podatność oraz przeglądanie i zabezpieczanie kodu źródłowego w celu eliminacji niebezpiecznej interpolacji f-string.
Oryginalny opis (angielski, źródło NVD)
agno 2.6.5 contains a SQL injection vulnerability in the ClickHouse vector database backend that allows attackers to inject arbitrary SQL expressions by supplying malicious metadata keys and values to the delete_by_metadata() method. Attackers can exploit the unsafe f-string interpolation in clickhousedb.py to delete all rows, target specific rows, or extract information through error-based or blind SQL injection techniques.