CVE-2024-10833
Publiée le 2025-03-20 · Dernière modification le 2026-06-17
La version 0.6.0 de DB-GPT est affectée par une faille dans son API de téléchargement de connaissances qui permet à un attaquant d'enregistrer des fichiers à n'importe quel emplacement sur le serveur. En manipulant le nom du fichier, un attaquant distant non authentifié peut écraser des fichiers système critiques pour potentiellement faire planter le serveur ou prendre le contrôle total de la machine. Cette attaque est facile à exécuter car elle ne nécessite aucun privilège particulier, aucune interaction de l'utilisateur et peut être réalisée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
eosphoros-ai/db-gpt version 0.6.0 is vulnerable to an arbitrary file write through the knowledge API. The endpoint for uploading files as 'knowledge' is susceptible to absolute path traversal, allowing attackers to write files to arbitrary locations on the target server. This vulnerability arises because the 'doc_file.filename' parameter is user-controllable, enabling the construction of absolute paths.