CVE-2026-77933

DB-GPT do wersji 0.8.2 zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu, ponieważ endpoint /api/v1/chat/react-agent opiera się na atrapie funkcji get_user_from_headers, która przyznaje każdemu wywołującemu rolę administratora. Nieuwierzytelnieni atakujący mogą wysyłać prompty powodujące uruchomienie przez niesandboxowane narzędzia code_interpreter i shell_interpreter dowolnego kodu Python lub bash jako root w kontenerze serwera WWW, w tym dostęp do dołączonej bazy danych z domyślnymi poświadczeniami.

DB-GPT v0.8.0 sandbox API po cichu przechodzi na LocalRuntime i wykonuje kod na hoście.

W DB-GPT 0.7.5 i 0.8.0 umiejętność (skill) przesłana przez rzeczywisty endpoint /api/v1/skills/upload może zostać następnie wykonana przez rzeczywisty przepływ /api/v1/chat/react-agent. Pozwala to na uruchomienie wcześniej wgranej, potencjalnie złośliwej umiejętności w kontekście agenta.

DB-GPT w wersjach 0.7.5 i 0.8.0 zawiera podatność typu directory traversal w funkcji python_file_upload (packages/dbgpt-app/src/dbgpt_app/openapi/api_v1/python_upload_api.py:42). Zdalny atakujący może wykorzystać zweryfikowaną ścieżkę eksploatacji do zapisu plików poza zamierzonym obszarem roboczym lub granicą przechowywania.

DB-GPT 0.8.0 zawiera podatność typu directory traversal w funkcji skill_upload (packages/dbgpt-app/src/dbgpt_app/openapi/api_v1/agentic_data_api.py:40). Zdalny atakujący może wykorzystać zweryfikowaną ścieżkę eksploatacji do zapisu plików poza zamierzonym obszarem roboczym lub granicą przechowywania.

DB-GPT buduje ścieżkę docelową dla przesłanego skilla na podstawie nazwy pliku multipart bez ograniczania jej do katalogu uploadu. Funkcja skill_upload nie kanonizuje ścieżki ani nie sprawdza, czy pozostaje w katalogu głównym, co pozwala na zapis plików poza nim. Endpoint jest dostępny bez uwierzytelnienia, co umożliwia zdalnemu atakującemu zapis dowolnych plików i uzyskanie wykonania kodu.

DB-GPT v0.8.1 zawiera nieuwierzytelnioną podatność na przechodzenie po ścieżkach, która pozwala zdalnym atakującym zapisywać dowolne pliki w dowolnej lokalizacji na serwerze poprzez wstrzyknięcie sekwencji przechodzenia po katalogach do nagłówka HTTP user_id w punkcie końcowym przesyłania plików Python. Atakujący mogą wysłać spreparowane żądanie multipart upload z zatrutym nagłówkiem user_id, aby opuścić zamierzony katalog przesyłania i zapisać treści kontrolowane przez atakującego w lokalizacjach takich jak haki startowe Pythona, katalogi cron lub skrypty agentów, co prowadzi do zdalnego wykonania kodu.