CVE-2026-28438
KrytyczneStreszczenie
CocoIndex to framework do transformacji danych dla AI. Przed wersją 0.3.34, konektor docelowy Doris nie weryfikował skonfigurowanej nazwy tabeli przed tworzeniem niektórych instrukcji SQL (ALTER TABLE), co prowadziło do podatności na wstrzykiwanie SQL, jeśli nazwa tabeli była dostarczana przez niezaufane źródło.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanych zmian w bazie danych, co stwarza poważne zagrożenie dla integralności danych w organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 0.3.34 lub nowszej, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów weryfikacji danych wejściowych w aplikacji.
Oryginalny opis (angielski, źródło NVD)
CocoIndex is a data transformation framework for AI. Prior to version 0.3.34, the Doris target connector didn't verify the configured table name before creating some SQL statements (ALTER TABLE). So, in the application code, if the table name is provided by an untrusted upstream, it expose vulnerability to SQL injection when target schema change. This issue has been patched in version 0.3.34.