CVE-2026-51911

Niskie ryzyko· EPSS 27%

Opublikowano: 02/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Vanna w wersji 2.0.2 zawiera podatność na wstrzykiwanie kodu w funkcji VannaBase.get_plotly_figure (src/vanna/legacy/base/base.py). W zależności od udostępnionego punktu wejścia, atakujący może wywołać wykonanie kontrolowanego kodu lub poleceń.

Ocena ryzyka

Ryzyko dla organizacji to możliwość zdalnego wykonania kodu przez atakującego, co może prowadzić do przejęcia systemu, kradzieży danych lub zainstalowania złośliwego oprogramowania.

Rekomendacja

Zaleca się natychmiastową aktualizację Vanna do najnowszej wersji, która usuwa tę podatność, oraz ograniczenie dostępu do punktów wejścia, które mogą być wykorzystane do wstrzykiwania kodu.

Inne podatności w Vanna

CVE-2026-65702Wysokie
Vanna do wersji 2.0.2 zawiera podatność typu path traversal w integracji FileSystemConversationStore. Nieuwierzytelniony atakujący może zapisywać dowolne pliki JSON i odczytywać metadane konwersacji poza katalogiem bazowym, używając sekwencji path traversal w parametrze conversation_id.

Oryginalny opis (angielski, źródło NVD)

vanna v2.0.2 contains a code injection vulnerability in VannaBase.get_plotly_figure (src/vanna/legacy/base/base.py). Depending on the exposed entry, an attacker can trigger attacker-controlled code or command execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS