CVE-2026-37009
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność SQL injection w komponencie NL2SQLTool biblioteki crewai-tools w wersji 1.10.2rc1. Zdalny atakujący może wykonać dowolne polecenia SQL poprzez niesanityzowany argument sql_query.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść lub zmodyfikować dane, a w skrajnych przypadkach przejąć kontrolę nad systemem.
Rekomendacja
Zaktualizuj crewai-tools do najnowszej wersji, która zawiera poprawkę. Dodatkowo waliduj i sanityzuj wszystkie argumenty wejściowe przekazywane do NL2SQLTool.
Inne podatności w crewai-tools
Zobacz wszystkie- CVE-2026-37007Krytyczne
Podatność w komponencie FileWriterTool biblioteki crewai-tools w wersji 1.10.2rc1 i wcześniejszych. Zdalny atakujący może osiągnąć wykonanie kodu poprzez złośliwe sekwencje path traversal w argumencie filename.
- CVE-2026-112308Wysokie
Biblioteka crewai-tools do wersji 1.15.28 zawiera podatność SSRF w narzędziu SeleniumScrapingTool, ponieważ nie stosuje ona sprawdzenia validate_url dla adresów prywatnych. Atakujący mogąc wpływać na dane wejściowe narzędzia agenta (np. przez prompt injection) mogą skierować headless Chrome do adresów loopback, RFC1918 lub metadanych chmury, ujawniając wewnętrzne dane i poświadczenia chmurowe.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in NL2SQLTool in crewai-tools v1.10.2rc1 allows a remote attacker to execute arbitrary SQL commands via an unsanitized sql_query argument.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS