CVE-2026-92207

WysokieCVSS 8.8

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.70%

Percentyl 53 - wyżej niż 53% wszystkich znanych CVE

Streszczenie

MindsDB zawiera podatność na wstrzyknięcie kodu i zdalne wykonanie kodu w klasie OpenBBtable. Wymagane jest uwierzytelnienie; problem wynika z braku walidacji ciągu dostarczonego przez użytkownika przed użyciem go do wykonania kodu Python, co pozwala atakującemu na wykonanie kodu w kontekście konta usługi.

Ocena ryzyka

Uwierzytelniony atakujący może wykonać dowolny kod w kontekście konta usługi MindsDB, co może prowadzić do eskalacji uprawnień i kompromitacji systemu. Wymaga to jednak ważnych poświadczeń.

Rekomendacja

Zaktualizuj MindsDB do wersji zawierającej poprawkę lub ogranicz dostęp do funkcji OpenBBtable. Zastosuj zasadę najmniejszych uprawnień dla konta usługi.

Inne podatności w MindsDB

CVE-2026-86173Wysokie
MindsDB do wersji 26.1.0 zawiera podatność na podrabianie żądań po stronie serwera w handlerze web crawler, która pozwala nieuwierzytelnionym atakującym na pobieranie dowolnych adresów URL poprzez dostarczenie kontrolowanych przez wywołującego adresów URL do CrawlerTable.list. Atakujący mogą obejść kontrolę listy dozwolonych, wykorzystując domyślną pustą konfigurację, i uzyskać dostęp do wewnętrznych usług oraz punktów końcowych metadanych chmury bez uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

MindsDB OpenBBtable Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of MindsDB. Authentication is required to exploit this vulnerability. The specific flaw exists within the OpenBBtable class. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of the service account. Was ZDI-CAN-28388.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS