CVE-2026-84061

ŚrednieCVSS 6.3

Opublikowano: 01/09/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Podatność na wstrzykiwanie SQL w oprogramowaniu zhongyu09 OpenChatBI do wersji 0.3.0. Funkcja _validate_sql_safety w pliku openchatbi/text2sql/generate_sql.py jest podatna na manipulację, co umożliwia zdalny atak. Wersje v0.2.0 do v0.2.2 nie mają żadnej walidacji bezpieczeństwa SQL, a v0.3.0 i v1.0.0b1/main zawierają niekompletną walidację.

Ocena ryzyka

Atakujący może zdalnie wykonywać nieautoryzowane zapytania SQL, co może prowadzić do naruszenia integralności danych lub wycieku informacji.

Rekomendacja

Zaktualizuj OpenChatBI do najnowszej wersji, jeśli dostępna, lub zastosuj dodatkowe zabezpieczenia, takie jak parametryzacja zapytań i ograniczenie dostępu.

Inne podatności w OpenChatBI

CVE-2026-5586Średnie
zhongyu09 openchatbi do wersji 0.2.1 jest podatny na iniekcję SQL przez argument 'keywords' w komponencie Multi-stage Text2SQL Workflow. Atakujący może zdalnie manipulować tym argumentem, co prowadzi do wykonania nieautoryzowanych zapytań SQL. Exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in zhongyu09 OpenChatBI up to 0.3.0. Affected by this vulnerability is the function _validate_sql_safety of the file openchatbi/text2sql/generate_sql.py. Performing a manipulation results in sql injection. The attack can be initiated remotely. Versions v0.2.0 through v0.2.2 have no SQL safety validation at all, while v0.3.0 introduced a validator and v1.0.0b1/main kept the same incomplete one with an optional stricter mode. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS